【Windows Server 2019】共有アクセス権とNTFSアクセス権の組み合わせ

Windows Server のファイル共有では、アクセス権を2か所で設定できます。共有アクセス権は、ユーザーがネットワーク経由で共有フォルダーにアクセスするときに適用されます。NTFS アクセス権は、フォルダーやファイルそのものに設定し、アクセスの経路に関係なく適用されます。この記事では、2つのアクセス権を組み合わせたときにどう動くかを、Windows Server 2019 で確認します。

共有アクセス権とNTFSアクセス権の連携

共有フォルダーに共有アクセス権を設定し、その中のフォルダーやファイルに NTFS アクセス権を設定したとします。ネットワーク経由（SMB）のアクセスには両方のアクセス権が適用され、2つのうち制限が厳しいほうが最終的なアクセス権になります。2つのアクセス権はそれぞれ独立していて、一方を変えてももう一方は変わりません。

一方、サーバーにローカルでログオンしたユーザーのアクセスには、共有アクセス権は適用されず、NTFS アクセス権だけで制限されます。つまり、NTFS アクセス権はネットワーク経由でもローカルでも常に適用され、共有アクセス権はネットワーク経由のときだけ追加で適用されます。

適用例

「共有」という名前の共有フォルダーの中に「営業部」フォルダーを作り、営業グループのユーザーからネットワーク経由でアクセスして動きを確かめます。共有アクセス権は「共有」フォルダーに、NTFS アクセス権は「営業部」フォルダーに設定します。2つのパターンの設定と結果をまとめると、次のようになります。

共有アクセス権が読み取りの場合

営業グループに対して、共有アクセス権は「読み取り」、営業部フォルダーの NTFS アクセス権は「フル コントロール」にします。共有アクセス権の一覧には営業グループだけを登録しています。

営業グループに所属するユーザーで、\\ad-1\共有\営業部 にネットワーク経由でアクセスし、新しいフォルダーを作成しようとすると拒否されます。

2>whoami（伏せています。営業グループに所属するユーザー）

共有アクセス権の「読み取り」と NTFS アクセス権の「フル コントロール」のうち、より制限の強い「読み取り」が適用されているためです。NTFS アクセス権でフル コントロールを与えていても、ネットワーク経由では共有アクセス権を超える操作はできません。

共有アクセス権が Everyone フル コントロールの場合

今度は、共有アクセス権を「Everyone」に「フル コントロール」にします。営業部フォルダーの NTFS アクセス権は、そのまま営業グループに「フル コントロール」です。

営業グループに所属するユーザーで営業部フォルダーにネットワーク経由でアクセスすると、新しいフォルダーやファイルを作成できます。

次に、営業グループに所属していないユーザーで営業部フォルダーにアクセスします。共有アクセス権は Everyone にフル コントロールですが、営業部フォルダーの NTFS アクセス権では営業グループ以外を許可していないため、アクセスは拒否されます。

2>whoami（伏せています。営業グループに所属しないユーザー）

実務での設定方法

実務では、共有アクセス権を「Everyone」に「フル コントロール」とし、NTFS アクセス権で制限する方法がよく使われます。共有アクセス権と NTFS アクセス権の両方で制限すると、アクセスできない原因を調べるときに両方を見る必要があり、管理が煩雑になりがちです。共有アクセス権を広くしておけば、ネットワーク経由でもローカルでも、NTFS アクセス権だけを見ればよくなります。

まとめ

関連記事：Windows Server バックアップ 動作確認（バックアップ・リストア）／【Active Directory】ユーザーのログオン認証の監査を設定する方法