Active Directoryでファイルを削除させない設定について

最終的に「icacls」コマンドを使用して、全てのフォルダとファイルに拒否を指定して対応しました。

一応、専用のグループを作成して設定し、後から一括で削除可能にしました。

一連の動作の原因が分かりましたので記載いたします。

原因は「ACEの優先度」でした。

再度検証しましたので、その内容を記載します。

継承：全てのフォルダでONの状態

・「共有フォルダA」があり、中に「フォルダB」があります。

・「フォルダB」の中に「ファイル1」があります。

・「共有フォルダA」に「ユーザー1」に対して権限が与えられています。権限は以下のとおりです

「ユーザー1」：読み取り、読み取りと実行、フォルダーの内容の一覧表示、変更、書き込み

※「変更」をつけると削除可能になります

※継承の設定は「このフォルダー、サブフォルーおよびファイル」となっています

↑ここまでの設定では「ユーザー1」で「ファイル1」は削除できます

次に

・「削除制限グループ」を作成し「ユーザー1」を参加させます

・「共有フォルダA」に「削除制限グループ」の権限をつけます。

「削除制限グループ」：高度なアクセス許可にて「削除」「サブフォルダーとファイルの削除」を「拒否」にします

↑ここまでの設定では「ユーザー1」で「ファイル1」を削除できなくなりました。

次に

・「共有フォルダA」の「ユーザー1」の権限を削除し、「フォルダB」に「ユーザー1」の権限をつけます。権限は上記記載と同じです

↑すると「ユーザー1」で「ファイル1」は削除できるようになります。

調べますとアクティブディレクトリの「ACEの優先度」では、「拒否」よりも操作したファイル、フォルダに近い権限のほうが優先度が高くなるらしいです。

つまり「共有フォルダA」より「フォルダB」のほうが「ファイル1」の保存位置に近いフォルダなので、そこで設定されている権限が優先される、ということのようです。

おそらくこれを乗り越える方法は無いと考えています。

「NTFS」では拒否が強いらしいですが、Active Directoryでは変わっているとのことでした。

大変お騒がせしました。

確かにその通りだと思います。

どこかで確認が抜けているものと思われますので、再確認いたします。

そもそも

> 「ユーザー1」：読み取り、読み取りと実行、フォルダーの内容の一覧表示

であれば、それ以上の設定をしなくてもファイルの削除はできないはずです。

にもかかわらず削除ができるということは

• アクセス権の設定自体が（意図とは異なり）正しくできていない（「ユーザー1」が削除を許可されているグループに所属しているなど）
• 「削除」の操作を行っている際のユーザー権限が「ユーザー1」ではない

など考えられます。

icacls | Microsoft Learn コマンドなどで対象のフォルダー/ファイルのアクセス権を再度確認してください。

また [コンピューターの管理] - [共有フィルダー] で共有へのアクセスを行っているアカウントを確認してください。

ご回答ありがとうございます。

一応、動作検証段階ということもあり、継承に関しては全てのフォルダでONの状態であることを確認しています。

行った動作検証が分かりにくかったかと思いますので、詳細に記載します。

・「共有フォルダA」があり、中に「ファイル1」があります。

・「共有フォルダA」に「ユーザー1」「ユーザー2」に対して権限が与えられています。それぞれの権限は以下のとおりです

「ユーザー1」：読み取り、読み取りと実行、フォルダーの内容の一覧表示

「ユーザー2」：読み取り、読み取りと実行、フォルダーの内容の一覧表示、変更、書き込み

※いずれもフルアクセスは与えられていません

※継承の設定は「このフォルダー、サブフォルーおよびファイル」となっています

・「共有フォルダA」は継承がONになっているので、「ファイル1」には上記の設定が反映されています。また権限は正常に動作していることを確認しています。

・「削除制限グループ」を作成し「ユーザー1」「ユーザー2」を参加させます

・「共有フォルダA」に「削除制限グループ」を設定し、以下のように権限を設定します

「削除制限グループ」：高度なアクセス許可にて「削除」「サブフォルダーとファイルの削除」を「拒否」にします

ネットワーク越しに「ユーザー1」のユーザーで「ファイル1」を削除すると、削除できていまいました（予想では削除ができなくなると考えていた）

上記のように複数のユーザー、グループの権限を乗り越えて、一括で削除を制限する方法を探している次第です。