Ограничение доступа к NTFS‑разделам в Windows

Зачем это нужно

Если вы делите ПК с несколькими пользователями и хотите скрыть личные файлы или предотвратить случайные изменения, настройка прав файловой системы (ACL) на NTFS‑разделах — надёжный способ ограничить доступ локальных аккаунтов без создания отдельных дисков или шифрования.

Важно: этот метод применим только к разделам с файловой системой NTFS. FAT и FAT32 не поддерживают списки контроля доступа (ACL).

Основные права NTFS — коротко

Full Control — полный контроль: чтение, запись, выполнение, удаление, изменение прав и владельца. Обычно для администраторов.
Modify — чтение, запись, удаление и изменение файлов и папок.
Read and Execute — чтение и выполнение файлов и просмотр папок без права изменения.
List Folder Contents — просмотр и перечисление содержимого папок, но не отдельных файлов.
Read — базовое право: просмотр и перечисление файлов и папок.
Write — создание и запись в файлы/папки без просмотра уже существующего содержимого.

Короткое определение: ACL (Access Control List) — список правил, которые указывают, какие учётные записи и группы могут что делать с файлами и папками.

Пошаговая инструкция через Проводник (Windows Explorer)

Откройте Проводник (Win + E). Правой кнопкой мыши щёлкните по диску, который нужно ограничить, и выберите «Свойства».

Свойства диска в Проводнике с выделенным пунктом Свойства

В окне «Свойства» перейдите на вкладку «Безопасность».

Вкладка Безопасность в окне Свойства диска

Нажмите «Изменить», чтобы редактировать разрешения.

Кнопка Изменить в разделе Безопасность для изменения прав доступа

Проверьте, есть ли нужный пользователь в списке «Группы или пользователи». Если нет — нажмите «Добавить».

Список групп и пользователей с кнопкой Добавить для добавления учётной записи

Введите имя пользователя, нажмите «Проверить имена», затем «ОК». Это добавит учётную запись в список.

Окно добавления пользователя: поле для ввода имени и кнопка Проверить имена

Выберите пользователя в списке. По умолчанию у него будут права чтения. Чтобы полностью запретить доступ, в разделе «Разрешения для …» отметьте все пункты в колонке «Запретить» (Deny), затем примените изменения — «Применить» → «ОК».

Установка всех флажков Запретить для выбранного пользователя

Примечание: вы можете избирательно разрешать или запрещать отдельные права вместо полного запрета.

После применения прав пользователь при попытке открыть диск получит сообщение о доступе запрещён (Access Denied).

Окно ошибки Доступ запрещён при попытке открыть диск без прав

Пояснения и полезные нюансы

Deny (Запрет) имеет приоритет над Allow (Разрешить). Даже если пользователь в другой группе имеет разрешения, явный «Запрет» отменит их.
Права наследуются: если вы ставите запрет на корень раздела, он распространится на вложенные папки, если включена наследуемость. Проверьте свойства дочерних объектов при необходимости.
Администраторы могут снять запреты: учётная запись с правами администратора может изменить ACL или взяться владельцем файла/папки.
Если ваша цель — защититься от физических или административных атак, используйте шифрование (BitLocker). ACL не защищают данные от админов или при загрузке с другого носителя.

Альтернативные подходы

BitLocker — шифрование всего раздела; защитит данные даже при физическом доступе к диску, но требует TPM или пароль.
Отдельные учётные записи и профили — создание отдельного профиля для каждого пользователя ограничит доступ к профилю, но не к общим разделам по умолчанию.
VHD/VHDX — поместите личные данные в зашифрованный VHD, подключайте по необходимости.
Сторонние инструменты для шифрования/контроля доступа — могут дать дополнительные опции, но проверяйте репутацию разработчика.

Командный метод (icacls) — для продвинутых

Если нужно массово настроить права или автоматизировать, используйте icacls из командной строки (запуск от имени администратора):

icacls "E:\" /deny USERNAME:(OI)(CI)F

OI и CI означают наследование для объектов и контейнеров (объекты и папки). F — полный доступ. Эта команда добавит правило «Запрет» для указанного пользователя.

Чтобы удалить запрет:

icacls "E:\" /remove:d USERNAME

Будьте осторожны: неправильные правила могут полностью заблокировать доступ даже для администраторов. Держите резервный админ‑аккаунт.

Когда это не сработает — ограничения и исключения

Если диск отформатирован в FAT/FAT32, ACL не применяются.
Администратор всегда может изменить права, стать владельцем объекта или загрузить систему с Live‑USB и обойти ACL.
Если пользователь получил локальные права администратора (или вы используете учётную запись Microsoft с правами), запрет будет легко снят.

Роль‑ориентированные чек‑листы

Администратор — быстрая проверка перед применением изменений:

Есть резервная копия важных данных.
Вы проверили наследование прав на подконтейнеры.
Не ставите запреты для Administrators/SYSTEM.
Имеется второй админ‑аккаунт на случай ошибок.

Пользователь — если доступ внезапно закрыт:

Убедитесь, что вы вошли под корректной учётной записью.
Свяжитесь с администратором для восстановления доступа.

Критерии приёмки

Пользователь, которому выставлен «Запрет», при попытке доступа получает сообщение «Доступ запрещён».
Другие учётные записи с нужными правами по‑прежнему имеют доступ (например, администраторы или указанные разрешённые аккаунты).
Негативные последствия системы отсутствуют: системные службы и Windows продолжают корректно работать.

Быстрая методология для повторяемости

Оцените цель: скрыть файлы или предотвратить изменения? Если нужны защита от админов — используйте шифрование.
Создайте резервную копию.
Добавьте пользователя в список прав и назначьте «Запрет» по необходимости.
Проверьте доступ с тестовой учётной записи.
Документируйте изменения и сохраните текущую конфигурацию ACL (icacls /save).

Краткое резюме

Настройка прав NTFS через вкладку «Безопасность» в свойствах диска — быстрый и встроенный способ ограничить доступ локальным учётным записям. Он удобен для разделения ПК между пользователями, но не заменяет шифрование при необходимости защиты от физических или административных атак.

Если осталось вопросы или вы хотите инструкцию для командной строки с примерами для нескольких пользователей — напишите, опишу сценарий и команды.

1‑строчный глоссарий:

NTFS — современная файловая система Windows с поддержкой ACL.
ACL — список контроля доступа, набор правил чтения/записи/выполнения для учётных записей.
BitLocker — средство шифрования разделов Windows.