Je pense que tu cherches trop compliqué, fais juste ceci (ça devrait te permettre de gérer tous les cas de figure) :
créés 4 groupes (2 par partage) :
grp-administratifs-rw et grp-administratifs-ro (pour Read+Write et Read Only)
grp-classe-rw et grp-classe-ro (pour Read+Write et Read Only)
créés 2 partages et appliques les bons droits
admnistratifs
choisi Groupes Locaux en haut :
coche la case "Lecture/écriture" pour le groupe grp-administratifs-rw
coche la case "Lecture seule" pour le groupe grp-administratifs-ro
ne coche rien d'autre
classe
choisi Groupes Locaux en haut :
coche la case "Lecture/écriture" pour le groupe grp-classe-rw
coche la case "Lecture seule" pour le groupe grp-classe-ro
ne coche rien d'autre
et enfin, place tes différents comptes dans les bons groupes en fonction des besoins (ne place par un utilisateur à la fois dans un groupe rw et ro d'un même partage) :
un utilisateur qui n'a besoin d'accéder qu'au partage "administratifs" en lecture+écriture devra être dans grp-administratifs-rw
un utilisateur qui a besoin d'accéder qu'au partage "administratifs" en lecture+écriture et au partage "classe" en lecture seule devra être dans grp-administratifs-rw et dans grp-classe-ro
...
Pas besoin de jouer avec les permissions avancées (c'est même déconseillé) et tu peux oublier le groupe Users (il sert au système, donc il ne faut ni le modifier, ni s'en servir sauf à maitriser ce qu'on fait).
Autre point important, il faut éviter de jouer avec les droits "négatifs" (Aucun accès/refuser/...), sinon on fait vite des erreurs. Il vaut mieux ne rien préciser (le droit par défaut c'est de refuser).
Enfin, windows ne permet pas plusieurs connexions avec des logins différents vers un même serveur, donc ne test pas avec un compte toto et un compte titi sans rebooter le pc entre les 2 ou sans faire : net use /delete *