[Win32] Access Control List

[tomminno]

...ovvero come fare le cose complicate che poi non funzionano (nemmeno con gli stessi applicativi Microsoft).

Mi sono imbattuto nel seguente problema, apparentemente banale e apparentemente altrettanto irrisolvibile:
Data una cartella con i permessi Modify per un utente, vorrei togliere da una sottocartella i permessi di Write e Delete e lasciare solo Read & Execute sempre per quell'utente.
Il problema è che per fare questo mantenendo l'ereditarietà delle ACL, questa operazione porta ad avere delle Special Permission. E fin qui niente di male sennonchè poi IIS non riesce a riconoscere che quell'utente ha il permesso di lettura su quella cartella e chiede l'autenticazione.

Ovviamente il vincolo di mantenere l'ereditarietà dei permessi è fondamentale per evitare di far morire la macchina con continue ridefinizioni di gerarchie di ACL.
Interrompendo l'ereditarietà è chiaramente fattibile, ma la soluzione è inaccettabile dal punto di vista delle prestazioni sul lungo/lunghissimo periodo.

Qualcuno sa come posso uscirne?