Установка прав пользователей

[Hunter_rzn Профиль]

Есть одноранговая сеть с файл сервером на базе w2ksp4. Там же запущен сервер терминалов, пока работает в тестовом режиме.

Проблема в следующем: я не могу создать для терминального пользователя папку на диске сервера с режимом доступа "только для чтения". Точнее создать мне её удаётся, но разрешения работают как-то странно. Несмотря на разрешение для папки и объектов внутри "Чтение и Выполнение" терминальный пользователь может переименовать папку и, если она пустая, даже удалить её! Это для меня шок. Может я туплю или что-то не так делаю? Но когда также настраиваешь разрешения для папок, доступных по сети, всё работает нормально, а вот с локальным доступом какие-то непонятки.

Последовательность действий такая:
Захожу по админом, создаю папку, иду в Свойства\Безопасность, отключаю наследование прав от родителя, добавляю админа и терминального пользователя, ставлю для админа "Полный доступ", для терминального юзера "Чтение и выполнение", дальше "ОК", подключаюсь к терминалу и спокойно делаю с папкой всё, что хочу.
С файлами внутри папки разрешения работают как надо, т.е. ни удалить, не переименовать их нельзя. Но для меня важна и сама папка!
Установка Запрещений по кнопке "Дополнительно" результатов не даёт.

Если поставить галочку "только для чтения" на вкладке "общие" свойств папки, удалять не даёт, но разрешает переименовать, предварительно предупредив, что я собираюсь переименовать папку "только для чтения".

Точно такое же поведение на машинке с XPprofsp2 в домене. Т.е. создаю локальную папку, задаю разрешения для админа - полный контроль, для Domain Users - только чтение. Всё равно юзеру папку позволяет переименовывать.

[Hunter_rzn Профиль]

Кажется сам разобрался.
В разрешениях родительской паки не должно быть больших привилегий для данного пользователя или группы. Получается, что разрешения родительской папки имеют более высокий приоритет по отношению к разрешениям самой папки, даже не смотря на то, что отключена опция наследования разрешений.

Но полного понимания работы этого механизма у меня всё-равно нет.
Например: я вообще удаляю разрешения для данного юзера во вкладке безопасность родительской папки, но он при этом всё равно может ёё просматривать и как раз не может переименовать ту папку, которую надо было сделать "только для чтения". Т.е. результат получен, но получен тупым перебором возможных вариантов.

Дайте кто-нибудь ссылку на подробное описание системы контроля прав от Microsoft.