共有フォルダのアクセス権

くろねこです。

複数のNTFSアクセス許可がある場合、足し算になります。

また、複数の共有フォルダアクセス権がある場合足し算になります。

しかし、NTFSアクセス権と共有フォルダアクセス権はどちらか制限の厳しい方になります。

トンネルが２か所あると考えるとよいのではないでしょうか。

ネットワーク越しにアクセスする場合、まず共有フォルダアクセス権の許可不許可を確認し

次にNTFSアクセス権で許可不許可を確認する...

あと複数のNTFSアクセス権があるということですが、対象ユーザーが複数のグループに

属しているということはないでしょうか。

足し算なのでどこかのグループで許可されていれば、許可されます。

また、何度も再起動されているとのことなのでこれはないかと思いますが、

一度アクセスしてアクセストークンができていればアクセスが可能です。

一度、マイクロソフトマネジメントコンソールから、コンピュータの管理/共有フォルダ

セッションで該当ユーザーが接続していないか確認し、接続していれば切断してから確認

してみてはいかがでしょうか。

あと、個人的にですがNTFSアクセス権だけで必要なコントロールはほぼできると思います。

共有アクセス権は触らず初期値のEvryoneフルコントロールの状態でとどめておく方が、

考えるべき場所を一か所にでき、幸せになれると思います。

また、NTFSアクセス権であれば、コマンドラインからまとめてバッチで変更などができ

便利であると思います。

以上、問題が早く解決するとよいなと思います。

度々すみません。

http://news.mynavi.jp/column/winserver/011/

上記サイトの『アクセス権が競合したときの挙動』を見ると、「複数のアクセス権設定が競合した場合、利用可能なアクセス権を足し合わせた合計を適用する」との記載がありました。

今回、共有アクセス許可がEveryoneフルコントロール、NTFSアクセス許可がグループ1については読み取りと実行であるため、アクセス権を足すと、結局フルコントロール？ってことになるのでしょうか。

また、「ただし[拒否]は[許可]に優先する」との記載もあります。

厳しい方が優先される（「フルコントロール」と「読み取りと実行」だと、「読み取りと実行」の方が厳しいからこちらが優先される）という認識でしたが、厳しいというのは明示的に拒否した場合・・・ってことになるのでしょうか。

ちょっと混乱してきました。。

uham様

度々のご連絡ありがとうございます。

>で、これがEveryoneに対しフルコントロールアクセス権があるという事ですね。

　その通りです。

>このNTFSアクセス権を最初の書き込み通りに設定してあるという事ですね。

　その通りです。

今まで、アクセス権を設定する際は、共有アクセス許可はEveryoneフルコントロールとし、NTFSアクセス許可の方でグループ単位だったりユーザー単位でそれぞれ権限の設定しておりましたが、これは一般的ではないのでしょうか。

※共有フォルダへのアクセスは、基本的にローカル及びリモートデスクトップでは行ってません。

例えば、下記のようにサブフォルダは特定ユーザーのみのアクセス権としており、そこに関してはちゃんと設定した通りの権限付けがされております。

　共有フォルダXXX　←　共有アクセス許可はEveryoneフルコントロール、NTFSはグループ1～3変更

　　　サブフォルダAA

　　　サブフォルダBB

　　　サブフォルダCC　←　このフォルダに関してはグループ1～3は削除し、特定ユーザー数人のみ設定

　　　サブフォルダDD

結果、サブフォルダCCに対して対象ユーザー以外がアクセスすると、ちゃんと弾かれます。

今回は、一番上の階層の共有フォルダXXXの権限を変更しようとしています。

元々、グループ1～3は変更権限があったので、グループ1、2については読み取りと実行に変更しました。

これにより、サブフォルダAAやBBもプロパティでみるとグループ1、2は読み取りと実行、3のみ変更になっております。

なお、サブフォルダCCは特定ユーザー数人のみ設定する際に、継承しないようにしているので、XXXでグループの権限を変更しても影響なく、現状も問題ありません。

横道にそれてしまいましたが、具体的に「ここを確認」というものはございませんでしょうか。

勉強不足で申し訳ございませんが、宜しくお願い致します。

共有のアクセス許可は、ネットワーク経由で共有フォルダーに接続してきたユーザーに適用されます。

共有のアクセス許可は、ローカルにログオンしたユーザーやリモート デスクトップを使用してログオンしたユーザーには影響しません。

で、これがEveryoneに対しフルコントロールアクセス権があるという事ですね。

そして、ローカルにログオンしたユーザーおよびリモート デスクトップを使用してログオンしたユーザーのアクセス許可を設定するには、「共有のアクセス許可」 タブではなく 「セキュリティ」タブのオプションを使用します。

このNTFSアクセス権を最初の書き込み通りに設定してあるという事ですね。

ご理解されている通り

共有フォルダーに共有のアクセス許可とファイル システムのアクセス許可の両方を設定した場合、

共有フォルダーへの接続にはより制限の厳しい方のアクセス許可が適用されます。

重複しますが、、

１）　ドメイン内のユーザーに共有フォルダーへの読み取りアクセスを許可。

２）　「 共有のアクセス許可」 タブでは Everyone に対してフル コントロールのアクセス許可を設定。

３）　「 セキュリティ」 タブで、グループ１グループ　に対して読み取りアクセスのアクセス許可を設定。

　　　（より制限の厳しいアクセスを指定）

この結果、グループ１グループのメンバーであるユーザーは、

ネットワーク共有を介して接続したのか、

リモート デスクトップを使用してアクセスしたのか、

ローカルにログオンしたのかに関係なく、共有フォルダーには読み取りアクセスしか行えなくなります。

尚、Administrators はEveryoneグループには含まれない独立したグループです。

ひとつ気になったことですが

＞あるファイルに対しての権限は以下の通りです。

フォルダに対し、「新規」作成ができないようにしたいのであれば、フォルダに対してのNTFSアクセス権を確認してください。

以下、参考にしてもう少し確認してください。

ファイル サーバーの共有アクセス許可と NTFS アクセス許可（TechNetの記事）

http://technet.microsoft.com/ja-jp/library/cc754178.aspx

uhamさま

ご回答ありがとうございます。

また、ご連絡が遅くなり申し訳ございません。

教えて頂いたコマンドを試してみました。

やり方が悪いのか、そのフォルダの中にあるファイルやフォルダ個々に対しての権限が表示されました。

あるファイルに対しての権限は以下の通りです。

ドメイン名\グループ1:(I)(RX)

ドメイン名\グループ2:(I)(RX)

ドメイン名\グループ3:(I)(M)

NT AUTHIRITY\SYSTEM:(I)(F)

BUILTIN\Administrators:(I)(F)

　・

　・

でした。ユーザーAはグループ1のみに所属しております。

基本的なことで申し訳ございませんが、当該フォルダの『共有アクセス許可』はEveryone：フルコントロールとなっておりましたが、共有アクセス許可でEveryoneフルコントロールとなっていたとしても、NTFSアクセス権の方が読み取りで設定されていたら、厳しい方の権限（読み取り）が優先される・・・という認識ですが、間違っておりますでしょうか。

あと、教えて頂いたリンク先を確認してみましたところ、

R (読み取り専用のアクセス許可)

RX(読み取りし、実行のアクセス権)

との記載がありましたが、本来であれば『R』になってないといけないのでしょうか。

度々申し訳ございませんが、ご教授の程よろしくお願い致します。