Negar Controle total negará todas as permissões para o usuário ou grupo que você disser. As entradas de negação têm precedência sobre Permitir entradas (em circunstâncias normais), portanto, mesmo se houver uma entrada Permitir para permissões específicas, o principal ainda será negado.
Observe que o proprietário (ou proprietários, se for um grupo) do objeto sempre pode ler e gravar as permissões, o que torna possível remover a entrada Negar. Se isso for um problema, defina o proprietário do objeto como Administradores.