FSRM（ファイル サーバー リソース マネージャー）は、ファイルサーバの共有フォルダなどに対して、ディスクの使用量を制限するクォータ管理と、保存できるファイルの種類を制限するファイルスクリーン管理の機能を提供します。この記事では、ファイルスクリーンの設定と動作を確かめます。
- ファイルスクリーンのテンプレートとファイルグループの関係
- アクティブスクリーン処理（保存をブロック）とパッシブスクリーン処理（監視だけ）の動作の違い
- 独自のファイルグループ（含めるファイル・除外するファイル）を作ってファイルスクリーンに適用する手順
検証の構成
Windows Server 2019 の AD-1 の C ドライブにフォルダ Sales-Data を作り、共有フォルダとして公開します。このフォルダにファイルスクリーンを設定し、端末から共有フォルダにファイルを保存して動作を確かめます。
FSRM のインストールと起動、クォータ管理の機能については、次の記事を参考にしてください。
ファイルスクリーンの概要
ファイルスクリーンを使うと、フォルダに保存できるファイルを、拡張子などのファイル名のパターンで制限できます。対象にするファイル名のパターンは「ファイルグループ」にまとめ、ファイルスクリーンではどのファイルグループをブロックするかを指定します。
よく使う設定は、あらかじめテンプレートとして用意されています。テンプレートは、ファイル サーバー リソース マネージャーで ファイル スクリーンの管理 ›› ファイル スクリーン テンプレート を開くと確認できます。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
| ファイル スクリーンのテンプレート | スクリーン処理 | ファイル グループ |
|---|---|---|
| 1イメージ ファイルのブロック | アクティブ | ブロック: イメージ ファイル |
| オーディオとビデオのファイルのブロック | アクティブ | ブロック: オーディオとビデオのファイル |
| 2実行形式とシステムのファイルの監視 | パッシブ | 警告: 実行形式ファイル, システム ファイル |
| 実行形式のファイルのブロック | アクティブ | ブロック: 実行形式ファイル |
| 電子メール ファイルのブロック | アクティブ | ブロック: 電子メール ファイル |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | イメージ ファイルのブロック | アクティブスクリーン処理で、ファイルグループ「イメージ ファイル」をブロックするテンプレート。この記事の前半で使う |
| 2 | 実行形式とシステムのファイルの監視 | パッシブスクリーン処理で、「実行形式ファイル」と「システム ファイル」を監視するテンプレート。この記事の中盤で使う |
「イメージ ファイルのブロック」をダブルクリックして、テンプレートの中身を確認します。
| テンプレート名 | イメージ ファイルのブロック |
| 1スクリーン処理 の種類 | ◉ アクティブ スクリーン処理：承認されていないファイルを保存することをユーザーに許可しない ○ パッシブ スクリーン処理：ユーザーにファイルの保存を許可する（監視用に使用） |
| 2ブロックする ファイル グループ | ☐ Office ファイル ☐ Web ページのファイル ☑ イメージ ファイル☐ オーディオとビデオのファイル ☐ システム ファイル ⋮ |
| 3イベント ログへ警告を送信 | ☑ |
| ログ エントリ | ユーザー [Source Io Owner] が、サーバー [Server] の [File Screen Path] で [Source File Path] を保存しようとしたことを検出しました。このファイルはシステムで許可されていない [Violated File Group] のファイル グループに一致します。 |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | スクリーン処理の種類 | アクティブ（承認されていないファイルの保存を許可しない）と、パッシブ（保存は許可する。監視用）の2種類。このテンプレートはアクティブ |
| 2 | ブロックするファイル グループ | 「イメージ ファイル」が選ばれている |
| 3 | イベント ログへ警告を送信 | ファイルスクリーンに一致したときに、イベントログに警告を出す。ログ エントリの [Source Io Owner] などの変数は、実際のユーザー名やパスに置き換えて記録される |
ファイルスクリーンに一致したときの通知は、［電子メール メッセージ］［イベント ログ］［コマンド］［レポート］の各タブで設定できます。この記事では、イベントログへの出力を確かめます。
ファイルグループ「イメージ ファイル」の中身は、［設定］タブのファイルグループの［編集］から確認できます。
| 1ファイル グループ名 | イメージ ファイル |
| 2含めるファイル | *.bmp *.dib *.eps *.gif *.img *.jfif ⋮ |
| 除外するファイル |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | ファイル グループ名 | イメージ ファイル |
| 2 | 含めるファイル | ブロックの対象にするファイル名のパターン。*.bmp は拡張子が bmp のファイルを表す |
| 3 | 除外するファイル | 含めるファイルに一致しても、対象から外すファイル名のパターン。このグループでは空 |
アクティブとパッシブの動作の違いをまとめると、次の図のようになります。どちらもイベントログに警告を出せますが、ファイルを保存できるかどうかが違います。
アクティブスクリーン処理
設定
AD-1 の C:\Sales-Data に、テンプレート「イメージ ファイルのブロック」を適用します。ファイル サーバー リソース マネージャーで ファイル スクリーンの管理 ›› ファイル スクリーン（右クリック） ›› ファイル スクリーンの作成 を選びます。
| 1ファイル スクリーンのパス | C:\Sales-Data |
| 2プロパティの構成方法 | ◉ ファイル スクリーンのテンプレートからプロパティを取得する（推奨） イメージ ファイルのブロック ○ カスタム ファイル スクリーンのプロパティの定義 |
| プロパティの要約 | ファイル スクリーン: C:\Sales-Data ソース テンプレート: イメージ ファイルのブロック スクリーン処理の種類: アクティブ ファイル グループ: イメージ ファイル 通知: 電子メール, イベント ログ |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | ファイル スクリーンのパス | C:\Sales-Data |
| 2 | プロパティの構成方法 | 「ファイル スクリーンのテンプレートからプロパティを取得する」を選び、「イメージ ファイルのブロック」を選ぶ |
| 3 | 作成 | プロパティの要約を確かめて、［作成］をクリックする |
ファイルスクリーンが次のように登録されます。
| ファイル スクリーンのパス | スクリーン処理 | ファイル グループ | テンプレートの一致 |
|---|---|---|---|
| 1C:\Sales-Data | アクティブ | ブロック: イメージ ファイル | はい |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | C:\Sales-Data | スクリーン処理はアクティブ、ファイルグループは「ブロック: イメージ ファイル」。テンプレートの一致が「はい」なので、テンプレートの設定のまま使っている |
動作確認
端末から共有フォルダにアクセスし、image.bmp を保存しようとすると、アクセスが拒否されます。
| 1保存するファイル | image.bmp を Sales-Data にコピー |
| 2表示されたダイアログ | 対象のフォルダーへのアクセスは拒否されました この操作を実行するアクセス許可が必要です 再試行 キャンセル |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | image.bmp | ファイルグループ「イメージ ファイル」の *.bmp に一致するファイル |
| 2 | アクセスは拒否されました | アクティブスクリーン処理でブロックされ、保存できない |
AD-1 のイベントログ（Windows ログ ›› Application）にも、保存がブロックされたことが記録されています。
| レベル | 日付と時刻 | ソース | イベント ID |
|---|---|---|---|
| 1 警告 | 2022/02/03 8:12:40 | SRMSVC | 8215 |
| 2全般 | ユーザー HIROTANOBLOG\（伏せています） が、サーバー AD-1 の C:\Sales-Data で C:\Sales-Data\image.bmp を保存しようとしたことを検出しました。このファイルはシステムで許可されていない “イメージ ファイル” のファイル グループに一致します。 |
| ソース／イベント ID／レベル | SRMSVC／8215／警告 |
| コンピューター | AD-1.hirotanoblog.local |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 警告／SRMSVC／8215 | FSRM（ソース SRMSVC）が出した警告（オレンジのアイコン）。イベント ID は 8215 |
| 2 | 全般 | 図3 のログ エントリの変数が置き換わり、どのユーザーがどのファイルを保存しようとしたかが記録される |
パッシブスクリーン処理
テンプレートのうち「実行形式とシステムのファイルの監視」は、パッシブスクリーン処理のテンプレートです。
| テンプレート名 | 実行形式とシステムのファイルの監視 |
| 1スクリーン処理 の種類 | ○ アクティブ スクリーン処理 ◉ パッシブ スクリーン処理：ユーザーにファイルの保存を許可する（監視用に使用） |
| 2ブロックする ファイル グループ | ☐ Office ファイル ☐ Web ページのファイル ☐ イメージ ファイル ☐ オーディオとビデオのファイル ☑ システム ファイル⋮ |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | スクリーン処理の種類 | パッシブ（保存は許可し、監視に使う） |
| 2 | ブロックするファイル グループ | 「システム ファイル」など。一覧の下のほうにある「実行形式ファイル」も選ばれている |
ファイルグループ「システム ファイル」の対象は、次の拡張子です。
| 1ファイル グループ名 | システム ファイル |
| 2含めるファイル | *.acm *.dll *.ocx *.sys *.vxd |
| 除外するファイル |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | ファイル グループ名 | システム ファイル |
| 2 | 含めるファイル | *.acm *.dll *.ocx *.sys *.vxd |
| 3 | 除外するファイル | なし |
設定
AD-1 の C:\Sales-Data に「実行形式とシステムのファイルの監視」を適用します。前の手順で作ったファイルスクリーンが残っていると image.bmp などはブロックされたままになるので、先に ファイル スクリーン ›› C:\Sales-Data（右クリック） ›› 削除 で削除しておきます。
ファイル スクリーンの作成で、パスに C:\Sales-Data を指定し、「ファイル スクリーンのテンプレートからプロパティを取得する」で「実行形式とシステムのファイルの監視」を選んで、［作成］をクリックします。
| 1ファイル スクリーンのパス | C:\Sales-Data |
| 2プロパティの構成方法 | ◉ ファイル スクリーンのテンプレートからプロパティを取得する（推奨） 実行形式とシステムのファイルの監視 ○ カスタム ファイル スクリーンのプロパティの定義 |
| プロパティの要約 | ファイル スクリーン: C:\Sales-Data ソース テンプレート: 実行形式とシステムのファイルの監視 スクリーン処理の種類: パッシブ ファイル グループ: 実行形式ファイル; システム ファイル 通知: 電子メール, イベント ログ |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | ファイル スクリーンのパス | C:\Sales-Data |
| 2 | プロパティの構成方法 | 「ファイル スクリーンのテンプレートからプロパティを取得する」を選び、「実行形式とシステムのファイルの監視」を選ぶ |
| 3 | 作成 | 要約のスクリーン処理の種類がパッシブになっていることを確かめて、［作成］をクリックする |
ファイルスクリーンが次のように登録されます。
| ファイル スクリーンのパス | スクリーン処理 | ファイル グループ | テンプレートの一致 |
|---|---|---|---|
| 1C:\Sales-Data | パッシブ | 警告: 実行形式ファイル, システム ファイル | はい |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | C:\Sales-Data | スクリーン処理はパッシブ、ファイルグループは「警告: 実行形式ファイル, システム ファイル」 |
動作確認
端末から共有フォルダにアクセスし、systemconfig.sys を保存すると、保存できます。
| 1保存するファイル | systemconfig.sys を Sales-Data にコピー |
| 2Sales-Data の中身 | systemconfig.sys |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | systemconfig.sys | ファイルグループ「システム ファイル」の *.sys に一致するファイル |
| 2 | Sales-Data の中身 | パッシブスクリーン処理なので、拒否されずに保存される |
AD-1 のイベントログ（Windows ログ ›› Application）には、システムファイルが保存されたことが記録されています。保存は止めずに、記録だけを残すのがパッシブスクリーン処理です。
| レベル | 日付と時刻 | ソース | イベント ID |
|---|---|---|---|
| 1 警告 | 2022/02/03 8:28:41 | SRMSVC | 8215 |
| 2全般 | ユーザー HIROTANOBLOG\（伏せています） が、サーバー AD-1 の C:\Sales-Data で C:\Sales-Data\systemconfig.sys を保存したことを検出しました。このファイルは “システム ファイル” ファイル グループに一致しています。これらのファイルには安全でないコードやウイルスを含んでいる場合があり問題を起こす可能性があります。 |
| ソース／イベント ID／レベル | SRMSVC／8215／警告 |
| コンピューター | AD-1.hirotanoblog.local |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 警告／SRMSVC／8215 | FSRM が出した警告（オレンジのアイコン） |
| 2 | 全般 | systemconfig.sys が保存されたことと、ファイルグループ「システム ファイル」に一致したことが記録される |
カスタムのファイルグループ作成
ここまでは用意されたテンプレートを適用しましたが、制限するファイル名のパターンは自分で決めることもできます。ここでは、拡張子が exe のファイルをブロックし、そのうち intra.exe だけは保存できるようにします。
ファイルグループの作成
ファイル スクリーンの管理 ›› ファイル グループ（右クリック） ›› ファイル グループの作成 を選びます。含めるファイルに *.exe、除外するファイルに intra.exe を追加し、［OK］をクリックします。
| 1ファイル グループ名 | EXEファイル |
| 2含めるファイル | *.exe |
| 3除外するファイル | intra.exe |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | ファイル グループ名 | EXEファイル |
| 2 | 含めるファイル | *.exe を入力して［追加］ |
| 3 | 除外するファイル | intra.exe を入力して［追加］ |
| 4 | OK | ファイルグループを作成する |
ファイルグループ「EXEファイル」が、次のように登録されます。
| ファイル グループ | 含めるファイル | 除外するファイル |
|---|---|---|
| 1EXEファイル | *.exe | intra.exe |
| Office ファイル | *.accdb, *.accde, *.accdr, *.accdt, *.adn, … | |
| Web ページのファイル | *.asp, *.aspx, *.cgi, *.css, *.dhtml, *.hta, … | |
| イメージ ファイル | *.bmp, *.dib, *.eps, *.gif, *.img, *.jfif, *.jpe… |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | EXEファイル | 含めるファイルは *.exe、除外するファイルは intra.exe |
含めるファイルに一致し、除外するファイルに一致しないファイルが、このグループの対象になります。
ファイルスクリーンへの適用
作ったファイルグループ「EXEファイル」を、アクティブスクリーン処理で C:\Sales-Data に適用します。ここでもパッシブスクリーン処理の手順で作ったファイルスクリーンを先に削除しておきます。
ファイル スクリーンの作成で、パスに C:\Sales-Data を指定し、「カスタム ファイル スクリーンのプロパティの定義」を選んで［カスタム プロパティ］をクリックします。
| 1ファイル スクリーンのパス | C:\Sales-Data |
| 2プロパティの構成方法 | ○ ファイル スクリーンのテンプレートからプロパティを取得する（推奨） ◉ カスタム ファイル スクリーンのプロパティの定義 3カスタム プロパティ |
| プロパティの要約 | ファイル スクリーン: C:\Sales-Data スクリーン処理の種類: アクティブ ファイル グループ: EXEファイル 通知: イベント ログ |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | ファイル スクリーンのパス | C:\Sales-Data |
| 2 | プロパティの構成方法 | 「カスタム ファイル スクリーンのプロパティの定義」を選ぶ |
| 3 | カスタム プロパティ | クリックして、スクリーン処理の種類とファイルグループを設定する（図20） |
| 4 | 作成 | カスタム プロパティを設定したあと、要約を確かめて［作成］をクリックする |
カスタム プロパティでは、スクリーン処理の種類にアクティブを選び、ブロックするファイルグループで「EXEファイル」を選びます。イベントログにも出力したいので、［イベント ログ］タブで「イベント ログへ警告を送信」にチェックを入れます。
| ファイル スクリーンのパス | C:\Sales-Data |
| 1スクリーン処理 の種類 | ◉ アクティブ スクリーン処理 ○ パッシブ スクリーン処理 |
| 2ブロックする ファイル グループ | ☑ EXEファイル☐ Office ファイル ☐ Web ページのファイル ☐ イメージ ファイル ⋮ |
| 3イベント ログへ警告を送信 | ☑ |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | スクリーン処理の種類 | アクティブ スクリーン処理 |
| 2 | ブロックするファイル グループ | EXEファイル |
| 3 | イベント ログへ警告を送信 | チェックを入れる |
| 4 | OK | カスタム プロパティを閉じ、図19 の画面で［作成］をクリックする |
［作成］をクリックすると、設定した内容をテンプレートとして保存するかどうかを聞かれます。ここでは「EXEファイルのブロック」という名前でテンプレートとして保存します。
| 1テンプレートを保存しますか？ | ◉ テンプレートとしてカスタム プロパティを保存する ○ テンプレートを作成せずにカスタム ファイル スクリーンを保存する |
| 2テンプレート名 | EXEファイルのブロック |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 保存の方法 | 「テンプレートとしてカスタム プロパティを保存する」を選ぶ |
| 2 | テンプレート名 | EXEファイルのブロック |
| 3 | OK | テンプレートを保存し、そのテンプレートでファイルスクリーンを作る |
ファイルスクリーンが次のように登録されます。
| ファイル スクリーンのパス | スクリーン処理 | ファイル グループ | テンプレートの一致 |
|---|---|---|---|
| 1C:\Sales-Data | アクティブ | ブロック: EXEファイル | はい |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | C:\Sales-Data | スクリーン処理はアクティブ、ファイルグループは「ブロック: EXEファイル」、ソース テンプレートは保存した「EXEファイルのブロック」 |
動作確認
端末から共有フォルダにアクセスし、program.exe を保存しようとすると、図8 と同じようにアクセスが拒否されます。program.exe は *.exe に一致し、除外するファイルにも当てはまらないためです。
AD-1 のイベントログにも、ブロックされたことが記録されています。
| レベル | 日付と時刻 | ソース | イベント ID |
|---|---|---|---|
| 1 警告 | 2022/02/03 21:07:02 | SRMSVC | 8215 |
| 2全般 | ユーザー HIROTANOBLOG\（伏せています） が AD-1 サーバー上の C:\Sales-Data に C:\Sales-Data\program.exe を保存しようとしました。このファイルは “EXEファイル” のファイル グループ内に存在し、このサーバー上では許可されていません。 |
| ソース／イベント ID／レベル | SRMSVC／8215／警告 |
| コンピューター | AD-1.hirotanoblog.local |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 警告／SRMSVC／8215 | FSRM が出した警告（オレンジのアイコン） |
| 2 | 全般 | program.exe の保存がファイルグループ「EXEファイル」に一致してブロックされたことが記録される |
除外するファイルに入れた intra.exe は、保存できます。
| 1保存するファイル | intra.exe を Sales-Data にコピー |
| 2Sales-Data の中身 | intra.exe |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | intra.exe | *.exe に一致するが、除外するファイルにも一致する |
| 2 | Sales-Data の中身 | グループの対象から外れるので、ブロックされずに保存される |
- ファイルスクリーンは、ファイルの中身ではなくファイル名のパターンで判定します。拡張子を変えたファイルは、変えたあとの名前で判定されます。
- ファイルスクリーンを作る前から保存されていたファイルは、ブロックの対象になりません。
- ファイルスクリーンは、指定したフォルダとその下のサブフォルダに効きます。一部のサブフォルダだけで特定のファイルを許可したいときは、ファイルスクリーンの例外を使います。
- ファイルグループを編集すると、そのファイルグループを使っているすべてのテンプレートとファイルスクリーンに反映されます。
まとめ
| 項目 | 内容 |
|---|---|
| ファイルスクリーン | フォルダに保存できるファイルを、ファイル名のパターンで制限する |
| ファイルグループ | 対象にするファイル名のパターン（含めるファイル）と、対象から外すパターン（除外するファイル）のまとまり |
| テンプレート | スクリーン処理の種類、ファイルグループ、通知の設定をまとめたもの。よく使う設定は用意されている |
| アクティブスクリーン処理 | 対象のファイルの保存をブロックする。通知も出せる |
| パッシブスクリーン処理 | 保存は許可し、通知だけを出す（監視用） |
| 通知 | 電子メール、イベントログ（SRMSVC の警告）、コマンド、レポート |
コメント