Berechtigungen für Verzeichnisse in 3 Ebenen anpassen

Hallo liebe Admin-User,

ich muss auf einem neu erstellten Laufwerk etwa 80 Verzeichnisse und Unterverzeichnisse anlegen.
Diese sollen in 3 Ebenen entstehen.

Alle Verzeichnisse - bis in die 3. Ebene hinein, sind namentlich bereits vorgegeben.
Daher habe ich schon eine entspr. Excel-Liste der Verzeichnisse erstellt.

Bevor ich diese Verzeichnisse nun anlege, würde ich gerne etwas zu den Berechtigungen für die 3. Ebene wissen.

Im ROOT-Verzeichnis soll die Vererbung deaktiviert werden.
Es gibt dort die Gruppen "Administrator" und "GAV".
Dabei soll es "Vollzugriff" für Admin haben und "Lesen, Ausführen, Ordnerinhalt anzeigen, Lesen" für die Gruppe GAV.

In Ebene 1 und 2 soll es genauso sein, wie im ROOT.

In der Ebene 3 liegen die meisten Unterverzeichnisse.
Dort sollen alle MA jedoch die Möglichkeit haben, neue Verzeichnisse anzulegen oder Dateien abzulegen... also mit zusätzlichen "ÄNDERN"-Rechten.

Nun meine Frage:
Wie mache ich es, dass in allen Unterverzeichnissen, die in Ebene 3 liegen, automatisch alle MA zusätzlich diese ÄNDERN-Rechte erhalten, ohne dass ich manuell in jedem einzelnen Verzeichnis über die Eigenschaften die Berechtigungen anpassen muss?

Zur Info:
Sämtliche Verzeichnisse werden im ROOT automatisch durch ein Script erstellt. Deshalb kann ich die Berechtigungen erst nachher anpassen.

ODER:
Wäre es ggf. sogar sinnvoller, im ROOT schon die ÄNDERN-Berechtigungen für die MA zu vergeben, diese weiter nach unten zu vererben und dann die Berechtigungen nur in den Ebenen 1 + 2 entspr. anzupassen... also dort für die MA von "ÄNDERN" auf "Lesen, Ausführen, Ordnerinhalt anzeigen, Lesen" ändern?
Obwohl ich gelesen habe, dass man es besser so nicht machen sollte (schlechter Stil etc.)

Danke und viele Grüße,
BN

$gruppe = "Domain\GroupXYZWrite"  
$ordner = "D:\Root"  
Get-ChildItem -Path $ordner -depth 2 -Directory | %{
    $acl = Get-ACL
    $acl.AddAccessRule([System.Security.AccessControl.FileSystemAccessRule]::new([System.Security.Principal.NTAccount]$gruppe,"Modify","ContainerInherit,ObjectInherit","InheritOnly","Allow"))  
    Set-ACL -Path $_.Fullname -AclObject $acl
}