恐らく誰もが複雑だなと感じる「子オブジェクトのアクセス許可エントリすべてを、このオブジェクトからの継承可能なアクセス許可エントリで置き換える」について分かり易く解説します。
先に結論：子に個別設定したアクセス許可を、親から継承できるアクセス許可へ置き換える操作です。子フォルダーごとの例外設定を失う可能性があるため、確認目的ではチェックを入れて適用しないでください。
「子オブジェクトのアクセス…」の場所
まずは、「子オブジェクトのアクセス…」はどこで実行するのかを整理しておきましょう。
フォルダやファイルのプロパティ ⇒ セキュリティタブ ⇒ 「詳細設定」から実行画面を開きます。
「子オブジェクトのアクセス…」の実行方法
「子オブジェクトのアクセス…」の実行方法は以下の通りです。
「子オブジェクトのアクセス…」にチェックを入れて「適用」ボタンをクリックすると「このオブジェクトの子孫すべてに対して明示的に定義されたアクセス許可を、＜プロパティで表示しているフォルダ名＞から継承可能なアクセス許可に置き換えます。続行しますか？」という確認が出ます。「はい」を選ぶと変更が実行されます。対象とバックアップを確認できない場合はキャンセルしてください。
「子オブジェクトのアクセス…」の実行内容
「子オブジェクトのアクセス許可エントリすべてを、このオブジェクトからの継承可能なアクセス許可エントリで置き換える」の実行内容を解説します。
下図をご覧ください。左側のフォルダAで「子オブジェクトのアクセス…」を実行すると、右側のようになります。図は、フォルダAのアクセス許可が子フォルダーとファイルにも継承されるように設定されている場合の例です。子の明示的なアクセス許可が親から継承できる設定へ置き換わります。ただし、親の「このフォルダーのみ」など継承対象外の設定までコピーされるわけではありません。適用先によってファイルとフォルダーの結果は異なります。
フォルダ配下が「継承の無効化」になっている場合です。
継承を無効にして個別運用していた子も置換対象になるため、例外的なアクセス制限が失われる可能性があります。図のような設定では、合わせて「継承の無効化」が「継承の有効化」に変更になります。
Windowsフォルダのアクセス権「継承の有効化」「継承の無効化」を図解で超分かり易く解説
「子オブジェクトのアクセス…」実行の注意点
「子オブジェクトのアクセス…」実行の注意点としては、以下の2点です。
１．「子オブジェクトのアクセス…」を実行する配下のフォルダやファイルが多い場合、処理が終わるまでに時間がかかります。
２．簡単な取り消し操作はありません。変更前の個別設定は自動保存されないため、事前の記録やバックアップなしで元の権限を再現するのは困難です。保存したDACLなどから復旧できる場合はありますが、対象パスと保存範囲を確認した復元手順が必要です。
実行前後に確認すること
変更前に対象フォルダーと子の例外設定、利用者、許可・拒否、適用先を記録し、管理者の変更承認を得ます。共有ルートやWindowsなどのシステムフォルダーで、アクセス拒否の原因が不明なまま一括置換しないでください。
icacls の /save と /restoreはDACLの保存・復元に使えますが、所有者や監査設定などを含む全セキュリティ情報の完全バックアップではありません。復旧範囲を事前に検証します。変更後は処理中のエラーを確認し、対象利用者で必要なファイルを開けるか、不要なアクセスが増えていないかを確かめます。
継承対象の違いはMicrosoftのACE継承規則を参照してください。
コメント