操作

创建子对象
删除
列出子对象
读取
写入

资源类型	拒绝“读取”的结果
Network Directory 或 Local Directory	阻止用户查看目录或其内容。
Application	阻止用户查看应用程序或其内容。拒绝 读取 操作不会阻止用户从应用程序中的数据服务器读取标签值。
区域	阻止用户查看区域或其内容。拒绝 读取 操作不会阻止用户从区域中的数据服务器读取标签值。
“系统”文件夹	阻止用户查看 系统 文件夹或其内容。拒绝 读取 操作不会阻止用户读取“网络和设备”树中设备的标签值。
“网络和设备”树	阻止用户查看“网络和设备”树及其内容。拒绝读取操作不会阻止用户读取特定设备的标签值。
“网络和设备”树中的个别网络或设备	阻止用户查看网络或设备及其内容。拒绝读取操作不会阻止用户读取特定设备的标签值。

资源类型	拒绝“写入”的结果
Network Directory 或 Local Directory	阻止用户修改目录中任何条目的属性。例如，拒绝 写入 操作可阻止用户修改应用程序描述、区域描述或数据服务器的属性。但是，如果允许 创建子对象 ，用户或组就可以在目录中创建应用程序，将区域添加到应用程序，以及将数据服务器添加到应用程序。
Application	阻止用户修改应用程序中任何条目的属性。例如，拒绝 写入 操作可阻止用户修改应用程序的描述、应用程序中区域的描述或应用程序或区域中的数据服务器属性。但是，如果允许 创建子对象 ，用户或组就可以将区域或数据服务器添加到应用程序，而且也可以将数据服务器添加到区域。
区域	阻止用户修改区域中任何条目的属性。例如，拒绝 写入 操作可阻止用户修改区域描述或区域中数据服务器的属性。但是，如果允许 创建子对象 ，用户或组就可以添加区域或区域中的数据服务器。
“系统”文件夹	阻止用户修改“系统”文件夹中任何条目的属性。例如，拒绝 写入 操作会阻止用户修改策略设置和用户帐户的属性，如帐户描述或组成员身份。如果帐户有与之关联的组成员身份，拒绝 写入 操作也会阻止删除用户或组帐户。这是因为组成员身份会在帐户被删除时自动更新，并且更新组成员身份由 写入 操作控制。
“网络和设备”树	阻止用户定义、修改或移除网络或设备的逻辑名称。拒绝 写入 操作不会阻止用户将标签值写入设备。
“网络和设备”树中的个别网络或设备	阻止用户定义、修改或移除网络或设备的逻辑名称。拒绝 写入 操作不会阻止用户将标签值写入设备。

资源类型	拒绝“创建子对象”的结果
Network Directory 或 Local Directory	阻止用户创建应用程序或区域。
Application	阻止用户在应用程序中创建区域或数据服务器。
区域	阻止用户查看区域或其内容。拒绝 读取 操作不会阻止用户从区域中的数据服务器读取标签值。
“系统”文件夹	阻止用户创建用户、计算机或组帐户。拒绝 创建子对象 对策略没有影响。
“网络和设备”树	由于用户不能将条目添加到“网络和设备”树，因此 创建子对象 不可用。“网络和设备”树是基于本地计算机可用的网络和设备自动填充的。
“网络和设备”树中的个别网络或设备	由于用户不能将条目添加到“网络和设备”树，因此 创建子对象 不可用。“网络和设备”树是基于本地计算机可用的网络和设备自动填充的。

资源类型	拒绝“删除”的结果
Network Directory 或 Local Directory	阻止用户删除目录中的任何条目，例如应用程序、区域、数据服务器或用户帐户。
Application	阻止用户删除应用程序或其中的任何条目，例如区域或数据服务器。
区域	阻止用户删除区域或其中的任何条目，例如区域中的数据服务器。
“系统”文件夹	阻止用户删除“系统”文件夹中的任何条目，例如用户、计算机或组帐户。如果用户、计算机或组帐户具有与之相关联的组成员身份，删除帐户还需要 写入 权限，因为更新帐户的组成员身份由 写入 操作控制。
“网络和设备”树	由于用户不能将条目从“网络和设备”树中移除，因此 删除 操作不可用。“网络和设备”树是基于本地计算机可用的网络和设备自动填充的。
“网络和设备”树中的个别网络或设备	由于用户不能将条目从“网络和设备”树中移除，因此 删除 操作不可用。“网络和设备”树是基于本地计算机可用的网络和设备自动填充的。