ユーザーが特定のグループに属している場合、または明示的にその権限を与えられている場合にのみ、書き込みが制限されたフォルダーがあります。指定されたグループとユーザーを持つフォルダーで SetNamedSecurityInfo を使用して、C++ でそれを正常に実装しました。ただし、次のシナリオでは問題が発生します。
- 管理者がユーザーに書き込み権限を与える
- ユーザーがファイルを作成する
- 管理者はユーザーから書き込み権限を削除します
- ユーザーがファイルに書き込みを続ける
最後の点が問題です。ユーザーはファイルの所有者であるため、管理者が権限を削除したとしても (グループ メンバーシップを削除するなどして)、ファイルに書き込むことができます。ファイルの所有権が、その制限されたフォルダー内の所有者にいかなる権利も付与しないことを達成したいと考えています。