Ограничить доступ к вложенной общей папке в общей папке Server 2008R2

Виртуальная машина Server 2008 R2 как рядовой сервер настроена как файловый сервер.

Ситуация: у нас есть подрядчик, которому требуется доступ для чтения к вложенной папке в общем каталоге в среде домена. Как мне разрешить этому пользователю доступ к файлам в общем каталоге при удалении прав на перемещение?

Если вы хотите предоставить доступ к подпапке общего каталога, у вас есть два варианта.

Как минимум дайте traverse folder / execute file разрешения для корня общего ресурса и всех родительских папок подпапки, к которой вы хотите предоставить доступ.
- При желании вы можете отказать (или не предоставить) list folder / read data разрешения для других вложенных папок в общей папке.
  - Мы делаем это для наших перенаправленных папок «Мои документы», чтобы каждый пользователь мог получить доступ \\DFSroot\Users\, но может только видеть или получать доступ \\DFSroot\Users\[their username]\. Значение запрета людям даже видеть другие папки сомнительно, ИМО, но это тоже не такая уж большая дополнительная работа.
Создайте новый общий ресурс в подпапке, предоставьте необходимые разрешения и получите доступ к нему через этот новый общий ресурс.

Если вы действительно хотите отрицать traverse folder / execute file разрешения выше в дереве каталогов, вы должны использовать вариант №2. Я бы сказал, что №2, вероятно, лучший вариант в целом, потому что он более заметен и, следовательно, с большей вероятностью будет очищен постфактум, чем группа списков ACL, которые не отображаются, если вы не посмотрите.