結論から言うと、ファイルやフォルダーへ実際に許可される操作は、対象の［プロパティ］から［セキュリティ］→［詳細設定］→［有効なアクセス］を開き、調べるユーザーを指定して確認するのが基本です。共有フォルダーでは、管理端末からUNCパスだけを見るのではなく、リソースを保持するサーバー上のローカルパスでも評価します。最初にACLを変更せず、対象、ユーザー、接続元デバイス、共有経由かローカルかを記録してください。本記事は表示と切り分けに限定し、権限を一括付与する操作は行いません。
「設定されている権限」と「有効なアクセス」は別物
Windowsのファイルアクセスは、ユーザー名だけで決まりません。ユーザーとグループはSIDで識別され、対象オブジェクトのセキュリティ記述子にあるDACLと、サインイン時に作られたアクセストークンを使ってアクセスチェックが行われます。DACLには、許可または拒否を表すACEが並びます。親フォルダーから継承したACE、対象へ直接設定したACE、複数グループ経由のACEが同時に関係するため、［セキュリティ］タブの一覧を目視して足し算するだけでは結論を誤りやすくなります。
［有効なアクセス］は、指定したユーザーについてWindowsのアクセスチェック結果を表示する診断機能です。一方、icaclsやGet-Aclが表示するのは主に対象に保存されたACLです。ACLの一覧と実効結果は目的が異なります。まず有効なアクセスで症状に近い結果を見て、次にACL、グループ所属、共有経路を照合する順番にすると、不要な権限変更を避けられます。
確認前に対象と実行場所を固定する
- 対象がローカルフォルダーなら、そのPC上で実際の絶対パスを確認します。ショートカットやライブラリの表示名ではなく、プロパティに出る保存先を記録します。
- SMB共有なら、利用者が入力するUNCパス、共有名、共有の実体となるサーバー上のローカルパスを分けて記録します。
- 対象ユーザーは表示名ではなく、可能なら「ドメイン名\ユーザー名」またはUPNで特定します。同名のローカルアカウントとドメインアカウントを混同しないでください。
- グループ追加直後は、既存のサインインセッションが古いトークンを保持している場合があります。変更前の診断値として、現在のサインイン状態も記録します。
- 閲覧権限が不足するとセキュリティ情報を読み切れません。必要な管理権限を持つ担当者が、対象サーバー上で読み取り確認を行います。
共有先を管理端末から調べる場合、リモートの有効なアクセス評価では、共有のセキュリティ情報を取得できない警告や、結果が欠ける事例がMicrosoftから説明されています。結果が不自然なら、アクセス権を直ちに追加せず、対象ファイルを保持するサーバーへ管理者として接続し、ローカルパスで同じユーザーを評価してください。
GUIでユーザーの有効なアクセスを表示する
- エクスプローラーで対象ファイルまたはフォルダーを右クリックし、［プロパティ］を開きます。Windows 11の簡略メニューでは［その他のオプションを確認］が必要な場合があります。
- ［セキュリティ］タブで対象の場所が正しいことを再確認し、［詳細設定］を選びます。ここでは［編集］や継承の変更を押しません。
- ［セキュリティの詳細設定］で［有効なアクセス］タブを開き、［ユーザーの選択］から調査対象のアカウントを指定します。
- デバイスを指定する欄が表示される環境では、デバイス要求や集約型アクセスポリシーを使うドメイン構成に限り、実際の接続元コンピューターを指定します。通常のローカルNTFS権限だけを調べる場合は、デバイスを無理に追加しません。
- ［有効なアクセス許可の表示］を実行し、フルコントロール、変更、読み取りと実行、フォルダーの内容の一覧表示、読み取り、書き込みなど、症状に関係する項目を確認します。
表示結果は画面全体を保存し、対象パス、評価したユーザー、デバイスの有無、確認日時を記録します。「書き込み」に許可があっても、アプリが必要とする名前変更、削除、子項目作成など別の権限が不足する場合があります。逆に、フォルダーを一覧表示できなくても、既知のファイル名を直接指定すると読める構成もあります。発生した操作と同じ粒度の項目を見てください。
ACLと現在のアクセストークンを読み取り専用で照合する
GUIの結果を説明できないときは、次のコマンドで事実を補います。いずれも表示目的の例で、/grant、/deny、Set-Aclなどの変更オプションは使いません。パスは実在する対象へ置き換え、引用符を残してください。
現在サインインしているユーザーとグループ
whoami /allwhoami /allは、コマンドを実行した現在のユーザー、SID、グループ、特権を表示します。他人のトークンを推測するコマンドではありません。利用者本人のセッションで取得するか、管理された手順で結果を共有してもらいます。資格情報や個人情報を公開チケットへ貼り付けず、SIDやグループ名の取り扱い範囲を決めてください。
対象に保存されたDACL
icacls "D:\Data\Target"オプションを付けずに対象名だけを渡すicaclsは、DACLを表示します。行末のIは継承されたACEを見分ける手掛かりになりますが、略号だけで実効結果を断定しないでください。再帰オプションを付けると大量の情報になるため、まず症状のある一つのフォルダーまたはファイルに限定します。
所有者、Access一覧、SDDL
Get-Acl -LiteralPath "D:\Data\Target" | Format-List Owner,Access,SddlGet-Aclはセキュリティ記述子をオブジェクトとして取得します。所有者、各ACE、継承状態の確認に向きます。所有者であることと、目的の読み書きが許可されることは同義ではありません。所有者には権限を管理できる能力が関係しますが、通常のファイル操作はDACLのアクセスチェックで判断されます。
共有フォルダーでは二つの境界を分けて調べる
UNCパス経由の利用では、共有レベルの許可と、実体フォルダーのNTFS許可の両方が関係します。ローカルパスでは成功し、UNCパスでは失敗するなら、NTFS ACLを広げる前に共有名、共有アクセス許可、接続に使ったアカウント、別資格情報で残っているSMBセッションを確認します。反対に、共有へ接続できても特定のサブフォルダーだけ失敗するなら、そのサブフォルダーの継承や明示ACEが主な調査対象です。
「ホスト毎に表示」という点は、どのPCからでも単純に別の結果になるという意味ではありません。デバイスSIDやデバイス要求、集約型アクセスポリシーを構成しているドメインでは接続元デバイスが評価材料になります。通常のNTFS ACLだけなら、主因はユーザーとグループ、対象DACLです。デバイス欄があるからといって、未構成の端末条件を推測して権限を付けないでください。
結果別の切り分け方
- 有効なアクセスでも不足している場合：どのACEが継承元か、対象ユーザーがどのグループを通じて許可または拒否されるかを確認します。個人へフルコントロールを追加して解決しないでください。
- 有効なアクセスでは許可なのに操作が失敗する場合：共有経路、アプリが実際に開く別パス、ファイルの使用中、読み取り専用属性、暗号化、アプリ側の保存方式を分けて調べます。
- グループ追加後だけ失敗する場合：新しいアクセストークンを取得するため、作業を保存したうえでサインアウトとサインインを行い、whoami /allで所属を再確認します。
- リモート評価だけ警告になる場合：リソースサーバー上のローカルパスで再評価し、共有セキュリティ情報が取得できたかを確認します。
- 一部の子項目だけ結果が違う場合：継承が無効化された子、明示ACEを持つ子、別ボリュームから移動された項目を個別に確認します。
変更が必要になったときの安全な進め方
診断後に権限変更が必要でも、対象ツリー全体へ一括適用する前に、現在のACL、所有者、継承元、業務上必要な操作を記録します。原則は個人ではなく管理されたセキュリティグループへ、必要最小限の権限を付与することです。拒否ACEの削除や継承の無効化は影響範囲が広いため、変更承認、検証用フォルダー、復旧手順を用意します。利用者の「開けない」だけを根拠にEveryoneのフルコントロールを追加する方法は採用しません。
変更後は、管理者として開けることではなく、対象ユーザーの新しいサインインセッションから、読み取り、作成、保存、名前変更、削除など必要な操作だけを試します。不要な操作が拒否されることも確認します。想定外なら、事前に記録したACLへ戻し、原因の切り分けを再開してください。
コメント