群晖 homes 权限别乱动、域用户改了组不生效：两只好看不见的手在管权限
权限"给了却不生效"，问题未必在你给的权限
多数人只盯自己新加的条目，但两类底层机制常被忽略：默认权限基线，和域环境 SMB 连接的旧组信息缓存。
第一只手：默认权限基线，删了就是拆地基
每个共享文件夹创建时自带默认权限，官方不建议改动——很多服务和套件正常运行的前提就是这些条目在位：
- 新建共享文件夹：administrators 读取/写入，应用于全部；
- docker：另有 ContainerManager 用户与 Owner 群组的完全控制、Everyone 读取；
- web / web_packages：http 用户与 http 群组读取——web 发布靠这两条活着；
- 已加域的系统：读写权限自动分配给 Domain Admins / Enterprise Admins（AD）或 LDAP 的 administrators。
homes（含 homes_N）是重灾区。家目录服务启用后系统自动创建，默认权限：所有者完全管理、读写，administrators 群组读写。手动改动可能引出三个怪象：
- 用户进不去自己的 home；
- administrators 无法通过 SSH 用 RSA 密钥对登录——密钥认证对 home 权限要求严格；
- 数据存在用户 home 里的套件异常。
排障先到 控制面板 > 共享文件夹 核对默认条目是否在位，再查其他。
第二只手：域用户改组后，SMB 权限没跟上
NAS 和 Windows 同域，域管理员给某用户换了群组，该用户 SMB 访问 NAS 却没拿到新组权限。两层原因：NAS 域数据可能没同步；已建立的 SMB 连接揣着登录时的组信息，换组不会自动刷新。
NAS 侧三步：
- 域数据同步：DSM 7.1+ 和 DSM Enterprise 每两分钟自动同步；DSM 7.0 到 控制面板 > 域/LDAP > 域用户 点「同步域数据」，6.2 点「更新域数据」；
- 确认群组类型是「安全群组」——通讯群组不参与授权；
- 让新组信息进到 SMB 连接：
- 资源监控 > 连接 > 已连接用户，选中该用户的 SMB 连接点「终止连接」；
- SSH 以 root 登录运行
systemctl reload pkg-synosamba-smbd，逐个连接重载； - 控制面板 > 文件服务 > SMB > 高级设置 > 常规，点「清除 SMB 缓存」——断开全部客户端强制重连。
Windows 侧收尾：关闭资源管理器和占用 NAS 文件的应用，管理员身份打开命令提示符，运行 net use * /d /y 断开全部 SMB 连接，一分钟后重连。用主机名（\MYNAS\MyData）访问的再补 klist purge 清 Kerberos 票据；仍不行改用 IP 连。
验证
用该域用户重连 SMB 后测读、写、改名、删除，与预期一致即闭环。DSM 7.0 及更早建议在 域/LDAP 设置里配「更新用户/群组列表」自动计划。
贵州诚鑫致达科技接手的域工单里，「换组不生效」十个有八个卡在旧 SMB 连接——先清连接再查权限，是这里的第一步。