NTFS（New Technology File System）は、Windowsで使用される標準ファイルシステムで、特にファイルやフォルダに対して、ACLによるアクセス権の設定が可能です。
今回は、NTFSのアクセス権の動作確認をします。
NTFSアクセス権
ファイルやフォルダにおいて、ユーザやグループに対してのアクセス権を付与することができます。
NTFSアクセス権は、ファイル／フォルダのプロパティからセキュリティタブで確認することができます。上段が適用されるユーザやグループで、下段がアクセス許可リストです。
アクセス許可は以下のような種類があり、それぞれに対して、許可、拒否ができます。
- フルコントロール：使用可能なすべてのアクセス許可をもっている。
- 変更：フルコントロールより制限があり、アクセス権の変更、所有者の変更ができません。
- 読み取りと実行：データの読み取りとプログラムの実行が可能です。アプリケーションなどで、予期せぬデータ削除や破損が発生しないようにすることができます。
- フォルダ内容の一覧表示：フォルダ内のファイルを一覧できる権限 （フォルダのみ。ファイルにはこの項目はありません）
- 読み取り：フォルダ/ファイルの読み取りができる権限
- 書き込み：フォルダ/ファイルの書き込みができる権限
- 特殊なアクセス許可：（今回の記事では割愛）
アクセス権の継承
デフォルトで、作成したファイル／フォルダなどのオブジェクトは、親フォルダのアクセス権を継承します。
例えば、Cドライブの下に共有という名前のフォルダを作成し、プロパティからセキュリティタブを移動するとアクセス権があらかじめ付与されています。
詳細設定をクリックすると、アクセス権の継承元が確認でき、継承元はC:¥であることがわかります。
共有 フォルダの下に、営業部と名前のフォルダを作成し、アクセス権を確認します。
詳細設定を確認すると、営業部フォルダもC:¥が継承元であることが確認できます。
アクセス権 継承の無効化
例えば、営業部のフォルダ`で、継承されたUsersへのアクセス権を削除し、営業部グループに対してフルコントロールのアクセス権を割り当てたいとします。
営業部フォルダで継承されたアクセス権を削除しようとすると、エラーになります。
エラー内容のとおり、アクセス権の継承を無効化する必要があります。営業部フォルダのセキュリティの詳細設定で、継承の無効化をクリックします。
下のようなメッセージが表示されるので、「〜明示的なアクセス許可に変換します。」を選択します。
クリック後、継承元がすべて なし であることを確認し、OKをクリックします。
これで、営業部フォルダは親フォルダからアクセス権を継承されません。アクセス権の変更も可能です。
アクセス権の動作確認
営業部フォルダを、営業部グループからフルコントロールでアクセスできるようにし、その他のドメインユーザからはアクセスできないように変更します。
- Active Directoryユーザーとコンピュータで、営業部OU内に営業グループという名前のセキュリティグループを作成し、ユーザ yamadaをメンバーにします。
- 営業部フォルダにアクセス権で、営業グループにフルコントロールを設定します。
共有アクセス（共有アクセス権はフルコントロールとします）から営業部グループの所属 yamada でアクセスすると、営業部フォルダにテキストファイルを追加することができます。
営業部グループ以外のユーザからはアクセスができないことが確認できます
コメント