群晖NAS怎么给不同部门设置不同权限的共享文件夹
公司新上一台群晖 NAS 给多个部门共用：财务部、人事部、技术部各自要有自己的空间，还要有一个全员只读的公共文件夹。给部门设权限具体在哪儿设？员工能不能只看到自己的文件夹？
原因（先搞懂群晖的权限层级）
群晖的权限有三层：共享文件夹级别（能进不能进）、子文件夹级别（能进里面哪个目录）、应用级别（DS file 等套件）。冲突时优先级是：禁止访问 > 读/写 > 只读——明确记住这个顺序，排权限问题就有依据。常见错误是只建一个大共享、靠员工自觉；或者把权限直接设到个人账号而不是群组，人员一变动就乱。
解决办法
- 建部门群组：控制面板 → 群组 → 创建，依次建"财务组"“人事组"“技术组"和"全员组”；再到用户里把员工账号分别加入对应群组（一人可属多组）。公共文件夹的写入权只给行政组。
- 建共享文件夹：控制面板 → 共享文件夹 → 新增。企业建议"一个部门一个共享文件夹”（如"财务部"“人事部”），而不是一个大共享里塞子目录——共享级权限最干净，也方便单独开回收站/加密/快照。
- 设共享文件夹权限：创建向导最后一页（或事后"编辑 → 权限"）里，把"财务部"共享给"财务组"读/写，其他组和 users 设为"禁止访问"；公共文件夹给"全员组"只读、行政组读/写。
- 隐藏无权限的文件夹：编辑共享文件夹时勾选"隐藏没有访问权限的子文件夹和文件"（子文件夹场景），或在 SMB 高级设置里启用基于权限的枚举，员工就看不到别的部门的目录，体验清爽。
- 需要部门内部再分层（如"技术部/项目A 仅项目组可写"）：用 File Station 或 SMB 进入该共享建子文件夹，右键设置子文件夹 ACL，给项目群组读写；注意上层目录要保证该群组至少"只读"，否则进不去。
- 权限排查：某员工反馈访问被拒，先按"用户实际属于哪些组"逐层核对（优先级：禁止 > 读写 > 只读），再检查他是否被单独设了覆盖群组的权限。
- 公司有域（AD）的环境更优：控制面板 → 域/LDAP 把 NAS 加入域后，直接选域用户/域群组授权，账号统一由域管，离职禁用即全线失效。
预防
- 权限只落到"群组"，永不给个人账号开共享权限。
- 部门共享文件夹统一开启回收站与快照，权限管"不该看"，快照兜底"误删改"。
- 每季度核对一次群组成员名单与 HR 在职名单。