【Windows Server 2019】 NTFSアクセス権と動作確認

2021.03.01

NTFS（New Technology File System）は、Windows の標準のファイルシステムです。ファイルやフォルダごとに、ACL（アクセス制御リスト）でアクセス権を設定できます。この記事では、Windows Server 2019 で NTFS のアクセス権と継承のしくみを確認し、特定のグループだけがフォルダにアクセスできるように設定して、動作を確かめます。

この記事でわかること
  1. NTFS アクセス権の種類と、セキュリティ タブの見方
  2. 親フォルダからのアクセス権の継承と、継承の無効化
  3. 特定のグループだけがアクセスできるフォルダの作り方と動作確認

NTFS アクセス権

ファイルやフォルダには、ユーザーやグループごとにアクセス権を付けられます。

NTFS アクセス権は、ファイルやフォルダのプロパティの［セキュリティ］タブで確認できます。上の欄がアクセス権を設定しているユーザーやグループ、下の欄がそのユーザーやグループのアクセス許可の一覧です。

営業部のプロパティ：セキュリティ タブ画面イメージ
セキュリティ
オブジェクト名C:¥共有¥営業部
グループ名またはユーザー名
CREATOR OWNERSYSTEM営業グループ (HIROTANOBLOG¥営業グループ)Administrators (HIROTANOBLOG¥Administrators)
アクセス許可：Administrators
アクセス許可許可拒否
フル コントロール✓
変更✓
読み取りと実行✓
フォルダーの内容の一覧表示✓
読み取り✓
書き込み✓
編集(E)…詳細設定(V)
図1　セキュリティ タブ。上がユーザーやグループ、下がアクセス許可の一覧（実際の画面ではなく、表示内容のポイントを示したイメージです）

アクセス許可には次の種類があり、それぞれについて「許可」と「拒否」を設定できます。

アクセス許可できること
フル コントロールすべての操作ができる。変更でできることに加えて、アクセス許可の変更や所有権の取得もできる
変更読み取り、書き込み、削除ができる。アクセス許可の変更や所有権の取得はできない
読み取りと実行データの読み取りと、プログラムの実行ができる。データを書き換えたり消したりはできない
フォルダーの内容の一覧表示フォルダの中のファイルやフォルダの一覧を見られる（フォルダだけにある項目で、ファイルにはない）
読み取りファイルやフォルダの内容を読み取れる
書き込みファイルやフォルダを作成したり、書き込んだりできる
特殊なアクセス許可上の組み合わせ以外の、細かいアクセス許可（この記事では扱いません）
許可と拒否が重なったとき

ユーザーが複数のグループに入っているときは、それぞれのグループの許可が合わさります。ただし「拒否」は「許可」より優先されます。また、そのフォルダに直接付けた（明示的な）アクセス許可は、親から継承したアクセス許可より優先されます。

アクセス権の継承

新しく作ったファイルやフォルダは、既定で、親フォルダのアクセス権を継承します。

例えば、C ドライブの下に「共有」という名前のフォルダを作り、プロパティの［セキュリティ］タブを開くと、アクセス権があらかじめ付いています。［詳細設定］をクリックすると、アクセス権の継承元を確認でき、継承元が C:¥ であることがわかります。

共有のセキュリティの詳細設定画面イメージ
名前C:¥共有
所有者Administrators (HIROTANOBLOG¥Administrators)
アクセス許可エントリ　1継承元を確認
種類プリンシパルアクセス継承元適用先
許可SYSTEMフル コントロールC:¥このフォルダー、サブフォルダーおよびファイル
許可Administrators (HIROTANOBLOG¥A…フル コントロールC:¥このフォルダー、サブフォルダーおよびファイル
許可Users (HIROTANOBLOG¥Users)読み取りと実行C:¥このフォルダー、サブフォルダーおよびファイル
許可Users (HIROTANOBLOG¥Users)特殊C:¥このフォルダーとサブフォルダー
許可CREATOR OWNERフル コントロールC:¥サブフォルダーとファイルのみ
追加(D)削除(R)表示(V) 継承の無効化(I)
OKキャンセル適用(A)
図2　共有フォルダの継承元は C:¥（実際の画面ではなく、表示内容のポイントを示したイメージです）

「共有」フォルダの下に「営業部」という名前のフォルダを作り、同じように［詳細設定］を確認すると、営業部フォルダも C:¥ が継承元であることが確認できます。C:¥ のアクセス権が、共有フォルダを通って営業部フォルダまで継承されています。

営業部のセキュリティの詳細設定画面イメージ
名前C:¥共有¥営業部
所有者Administrators (HIROTANOBLOG¥Administrators)
アクセス許可エントリ　1継承元を確認
種類プリンシパルアクセス継承元適用先
許可SYSTEMフル コントロールC:¥このフォルダー、サブフォルダーおよびファイル
許可Administrators (HIROTANOBLOG¥A…フル コントロールC:¥このフォルダー、サブフォルダーおよびファイル
許可Users (HIROTANOBLOG¥Users)読み取りと実行C:¥このフォルダー、サブフォルダーおよびファイル
許可Users (HIROTANOBLOG¥Users)特殊C:¥このフォルダーとサブフォルダー
許可CREATOR OWNERフル コントロールC:¥サブフォルダーとファイルのみ
追加(D)削除(R)表示(V) 2継承の無効化(I)
OKキャンセル適用(A)
図3　営業部フォルダも継承元は C:¥（実際の画面ではなく、表示内容のポイントを示したイメージです）
C ドライブ（C:¥） 共有 営業部 C:¥ のアクセス権SYSTEM：フルコントロールAdministrators：フルコントロールUsers：読み取りと実行 などCREATOR OWNER：フルコントロール 継承したアクセス権（継承元 C:¥）SYSTEM：フルコントロールAdministrators：フルコントロールUsers：読み取りと実行 などCREATOR OWNER：フルコントロール 継承したアクセス権（継承元 C:¥）SYSTEM：フルコントロールAdministrators：フルコントロールUsers：読み取りと実行 などCREATOR OWNER：フルコントロール 継承 継承
図4　アクセス権は親フォルダから継承される

アクセス権の継承の無効化

例えば、営業部フォルダで、継承された Users のアクセス権を削除し、営業グループにフルコントロールのアクセス権を付けたいとします。

ところが、営業部フォルダで継承されたアクセス権を削除しようとすると、エラーになります。

Windows セキュリティ画面イメージ
Users (HIROTANOBLOG¥Users) は親からアクセス許可を継承しているので、このオブジェクトを削除することはできません。Users (HIROTANOBLOG¥Users) を削除するには、アクセス許可の継承を妨げる必要があります。アクセス許可の継承のオプションをオフにして、Users (HIROTANOBLOG¥Users) の削除を再試行してください。
OK
図5　継承されたアクセス権は削除できない（実際の画面ではなく、表示内容のポイントを示したイメージです）

エラーのとおり、アクセス権の継承を無効にする必要があります。

継承を無効にする

営業部フォルダのセキュリティの詳細設定（さきほど継承元を確認した画面）で、［継承の無効化］をクリックします。次のメッセージが表示されるので、「継承されたアクセス許可をこのオブジェクトの明示的なアクセス許可に変換します。」を選びます。

継承のブロック画面イメージ
現在継承されているアクセス許可で実行する処理
このオブジェクトへの継承をブロックしようとしています。ブロックすると、親オブジェクトから継承されたアクセス許可はこのオブジェクトに適用されません。
1→ 継承されたアクセス許可をこのオブジェクトの明示的なアクセス許可に変換します。
→ このオブジェクトから継承されたアクセス許可をすべて削除します。
キャンセル
図6　明示的なアクセス許可に変換する（実際の画面ではなく、表示内容のポイントを示したイメージです）
選択肢結果
明示的なアクセス許可に変換しますいま継承しているアクセス権を、そのままこのフォルダ自身のアクセス権としてコピーする。あとから不要なものだけを消せる
すべて削除します継承していたアクセス権がすべて消え、アクセス権が何もない状態になる

クリックしたあと、継承元がすべて「なし」になっていることを確認し、［OK］をクリックします。

営業部のセキュリティの詳細設定（継承の無効化後）画面イメージ
名前C:¥共有¥営業部
所有者Administrators (HIROTANOBLOG¥Administrators)
アクセス許可エントリ　1継承元を確認
種類プリンシパルアクセス継承元適用先
許可SYSTEMフル コントロールなしこのフォルダー、サブフォルダーおよびファイル
許可Administrators (HIROTANOBLOG¥A…フル コントロールなしこのフォルダー、サブフォルダーおよびファイル
許可Users (HIROTANOBLOG¥Users)読み取りと実行なしこのフォルダー、サブフォルダーおよびファイル
許可Users (HIROTANOBLOG¥Users)特殊なしこのフォルダーとサブフォルダー
許可CREATOR OWNERフル コントロールなしサブフォルダーとファイルのみ
追加(D)削除(R)表示(V) 継承の有効化(I)
OKキャンセル適用(A)
図7　継承元がすべて「なし」になる（実際の画面ではなく、表示内容のポイントを示したイメージです）

これで、営業部フォルダは親フォルダからアクセス権を継承しなくなり、アクセス権を自由に変更できるようになります。

C ドライブ（C:¥） 共有 営業部 C:¥ のアクセス権SYSTEM：フルコントロールAdministrators：フルコントロールUsers：読み取りと実行 などCREATOR OWNER：フルコントロール 継承したアクセス権（継承元 C:¥）SYSTEM：フルコントロールAdministrators：フルコントロールUsers：読み取りと実行 などCREATOR OWNER：フルコントロール 明示的なアクセス権（継承元 なし）SYSTEM：フルコントロールAdministrators：フルコントロールCREATOR OWNER：フルコントロール営業グループ：フルコントロール 継承を無効化 Users を削除し、営業グループにフルコントロールを付ける
図8　継承を無効にすると、アクセス権を自由に変更できる

アクセス権の動作確認

営業部フォルダに、営業グループからはフルコントロールでアクセスでき、それ以外のドメインユーザーからはアクセスできないように変更します。

営業グループを作る

［Active Directory ユーザーとコンピューター］で、営業部 OU に「営業グループ」という名前のセキュリティグループを作り、ユーザー yamada（山田 一郎）をメンバーにします。

Active Directory ユーザーとコンピューター：営業グループのプロパティ画面イメージ
hirotanoblog.local ›› 営業部 ›› 営業グループ ›› メンバー
名前Active Directory ドメイン サービス フォルダー
1山田 一郎hirotanoblog.local/営業部
図9　営業グループのメンバーに山田 一郎を追加する（実際の画面ではなく、表示内容のポイントを示したイメージです）

営業グループにアクセス権を付ける

営業部フォルダのアクセス権で、継承から変換された Users のエントリを削除し、営業グループを追加してフルコントロールを許可します。

営業部のアクセス許可画面イメージ
セキュリティ
オブジェクト名C:¥共有¥営業部
グループ名またはユーザー名
CREATOR OWNERSYSTEMAdministrators (HIROTANOBLOG¥Administrators)1営業グループ (HIROTANOBLOG¥営業グループ)
アクセス許可：営業グループ
アクセス許可許可拒否
フル コントロール✓
変更✓
読み取りと実行✓
フォルダーの内容の一覧表示✓
読み取り✓
追加(D)…詳細設定(V)
図10　営業グループにフルコントロールを許可する（実際の画面ではなく、表示内容のポイントを示したイメージです）

アクセスできることを確認する

共有フォルダとしてネットワークからアクセスします（共有のアクセス許可はフルコントロールにしています）。営業グループのメンバーの yamada でアクセスすると、営業部フォルダにテキストファイルを作ることができます。

エクスプローラーとコマンドプロンプト（yamada でサインイン）画面イメージ
ネットワーク ›› ad-1 ›› 共有 ›› 営業部
名前更新日時種類
1新しいテキスト ドキュメント2021/02/26 18:03テキスト ドキュメント
C:¥Users¥yamada>whoami2hirotanoblog¥yamada C:¥Users¥yamada>
図11　yamada は営業部フォルダにファイルを作れる（実際の画面ではなく、表示内容のポイントを示したイメージです）

営業グループ以外のユーザー（suzuki）では、営業部フォルダにアクセスできないことが確認できます。

エクスプローラーとコマンドプロンプト（suzuki でサインイン）画面イメージ
ネットワーク ›› ad-1 ›› 共有
ネットワーク エラー
1¥¥ad-1¥共有¥営業部 にアクセスできません
¥¥ad-1¥共有¥営業部 に対するアクセス許可がありません。ネットワーク管理者にアクセス許可を要求してください。
Microsoft Windows [Version 10.0.16299.1087](c) 2017 Microsoft Corporation. All rights reserved. C:¥Users¥suzuki>whoami2hirotanoblog¥suzuki C:¥Users¥suzuki>
図12　suzuki は営業部フォルダにアクセスできない（実際の画面ではなく、表示内容のポイントを示したイメージです）
共有のアクセス許可との関係

ネットワーク経由でアクセスするときは、共有のアクセス許可と NTFS のアクセス許可の両方が確認され、より厳しいほうが適用されます。今回は共有のアクセス許可をフルコントロールにしているので、NTFS のアクセス許可だけで、アクセスできるユーザーを決めています。共有のアクセス許可は、共有アクセス許可の記事で確認しています。

まとめ

項目内容
NTFS アクセス権ファイルやフォルダごとに、ユーザーやグループへ許可・拒否を設定する。［セキュリティ］タブで確認する
継承新しいファイルやフォルダは、既定で親フォルダのアクセス権を継承する。継承元は［詳細設定］で確認できる
継承の無効化継承されたアクセス権は削除できない。［継承の無効化］で明示的なアクセス許可に変換してから変更する
動作確認営業グループの yamada はファイルを作れ、ほかのユーザーはアクセスできない

共有のアクセス許可との組み合わせは 【Windows Server 2019】共有アクセス許可と動作確認、ユーザーの追加とドメイン参加は 【Windows Server 2019】Active Directory ユーザ追加と端末のドメイン参加、Active Directory のインストールは 【Windows Server 2019】Active Directoryのインストール手順 で説明しています。

コメント