Разграничение доступа по уноследовательности.

Всем привет!!!
В общем у меня встала задача сделать доступ к папке, но не простой) Описываю, что и как надо, чтоб работало.
Домен в win 2008 и есть сетевая папка "Обмен" и к этой папке есть доступ допустим у Иванова, Петрова и Сидорова. Иванов создает в папке "Обмен" документ Word с текстом. Нужно чтоб у Иванова был в папке "Обмен" был не полный доступ, но он мог изменять свой созданный документ, менять ему имя и менять в нем содержимое. А Петров и Сидоров не могли поменять имя файла Word и его содержимое, но при этом если они внесли изменения, то могли сохранить в этой же папке файл но под другим именем. Такая же схема должна применяться и для Петрова, если он владелец-создатели и для Сидорова, если он владелец-создатель.

Вопрос. Как правильно это организовать?
Знаю что надо капать в безопасности этой паке по пользователям и там уже разграничивать доступ. Но максимум чего смог добиться, чтоб могли создавать, но не могли не удалять не менять)

Кто подскажет?
Все спасибо!