Windowsの共有フォルダは、OUにユーザーを配置するだけではアクセス権を制御できません。OUごとのグループポリシーでネットワークドライブを割り当てることはできますが、それは利用するフォルダへの入口を用意する設定です。ファイルを開いたり変更したりできるかどうかは、共有アクセス許可とNTFSアクセス許可で制御します。
この記事では、秘書課・庶務課・法務課・情報課の例を使い、OU・GPOによるドライブ割り当てと、セキュリティグループによるアクセス権管理を分けて説明します。
グループポリシー（GPO）の作成と適用手順
「グループポリシーて何？」という方は「グループポリシーの作成と適用手順」Active Directoryをフル活用して端末を完全制御しちゃおう！！で細かい説明をしていますのでご参照ください。実例を用いて説明をしていますので、全くの初心者でもグルーポプリシーが自由に扱えるようになります。
OUとセキュリティグループの役割は異なる
- OU：ユーザーやコンピューターを管理し、GPOの適用範囲や管理の委任を整理するための単位です。
- セキュリティグループ：共有フォルダなどへのアクセス許可を、複数のユーザーにまとめて割り当てるために使います。
- ネットワークドライブ：共有フォルダのUNCパスを、R:などのドライブ文字で利用できるようにするものです。
通常のWindowsファイル共有のアクセス許可には、ユーザーやセキュリティグループなどのセキュリティプリンシパルを指定します。OUは、その中のユーザー全員を表すアクセス許可の指定先にはなりません。OUに設定する管理権限も、そのOU内のユーザーに共有フォルダの利用権限を与えるものではありません。
Microsoftの説明でも、OUはGPO適用や管理の委任を目的とする構造、セキュリティグループはリソースへのアクセスを管理する単位として区別されています。
先に共有フォルダのアクセス許可を設計する
例として、秘書課、庶務課、法務課、情報課の各フォルダを用意します。「ドライブを割り当てないから見られない」と考え、全社員に無制限のアクセス権を与えないでください。
各課の利用者をまとめるセキュリティグループを用意し、担当フォルダに必要な権限を設定します。たとえば、秘書課の編集担当者には秘書課フォルダを変更できる権限、閲覧担当者には読み取り権限を与える、といった設計です。庶務課・法務課・情報課も同じ考え方で分けます。
- 共有アクセス許可：ネットワーク経由で共有にアクセスする際の権限です。
- NTFSアクセス許可：実際のフォルダやファイルに設定する権限です。親フォルダからの継承も確認します。
ネットワーク経由で利用するには両方の許可が必要です。共有側で許可しても、NTFS側で許可していない操作はできません。逆も同じです。複数のグループへの所属や既存の継承設定を含めて確認し、一般利用者に不要なフルコントロールを付与しないようにします。
既存環境では、業務・バックアップ・管理用アカウントへの影響を確認せずに権限を一括削除したり、継承を一律に変更したりしないでください。まず検証用フォルダとテストユーザーで確認します。アクセス許可の基本はMicrosoftのアクセス制御の概要を参照してください。
OUごとにネットワークドライブを割り当てる
アクセス許可を設定したうえで、利用者が自分の課のフォルダを開きやすいようにGPOを使います。次のように、各課のユーザーアカウントが入っているOUを対象にする例です。実際のOU構成は既存の管理方針に合わせてください。共有フォルダのためだけに組織構成を作り直す必要はありません。
＜Active Directoryユーザーとコンピューターの構成例＞
総務部OU
－秘書課OU 【秘書課のユーザーを配置】
－庶務課OU 【庶務課のユーザーを配置】
監査部OU
－法務課OU 【法務課のユーザーを配置】
－情報課OU 【情報課のユーザーを配置】
各課のOUにリンクするGPOで、［ユーザーの構成］→［基本設定］→［Windowsの設定］→［ドライブマップ］を設定します。これはユーザー向けの設定なので、通常はユーザーアカウントのOUが適用範囲になります。コンピューターのOUだけを対象にする構成とは区別してください。
秘書課では、共有フォルダのUNCパス \\sv1\root\全社員\総務部\秘書課 をR:に割り当てます。庶務課では、庶務課の共有フォルダをR:に割り当てます。利用者ごとに異なるパスを同じドライブ文字で扱えますが、既存のR:との競合や、ほかのGPOによる設定も事前に確認してください。
＜グループポリシーの管理の構成例＞
総務部OU
－秘書課OU 【GPO：秘書課フォルダをR:に割り当て】
－庶務課OU 【GPO：庶務課フォルダをR:に割り当て】
監査部OU
－法務課OU 【GPO：法務課フォルダをR:に割り当て】
－情報課OU 【GPO：情報課フォルダをR:に割り当て】
GPOのリンクだけで必ず適用されるとは限りません。継承、セキュリティフィルター、項目レベルのターゲット設定なども確認してください。また、ドライブマップの「置換」は既存の割り当てを削除して再作成する動作です。単に設定を更新する場合と区別し、利用中の接続への影響を検証します。
ドライブ割り当ての操作例は、以下の記事を参照してください。ただし、ドライブの割り当てはアクセス許可の代わりにはなりません。
GPOでネットワークドライブを設定する方法（共有フォルダのショートカットはダサい）
設定の動作については、Microsoftのドライブマップの解説も参考になります。
「ドライブが見えない」と「アクセスできない」は別
この設定により、各課の利用者に使いやすいドライブを配布できます。ただし、ほかのドライブがすべて消えるわけではなく、接続先のUNCパスが秘密になるわけでもありません。
ドライブが割り当てられていなくても、利用者はUNCパスを直接指定して共有フォルダに接続できます。そのときにアクセスを拒否するのが、共有アクセス許可とNTFSアクセス許可です。パスを隠すことやショートカットを配布しないことだけに、情報保護を任せないでください。
導入前の確認では、次の点を別々にテストします。
- 対象の一般ユーザーで、自分の課のR:が期待したフォルダに接続される。
- 自分の課のフォルダで、許可した読み取り・変更操作だけができる。
- 権限を持たない別の課のフォルダは、UNCパスを直接入力しても開けない。
- 異動時に、ドライブ割り当てだけでなくセキュリティグループの所属も適切に見直せる。
OUを移動しても、セキュリティグループの所属は自動的には切り替わりません。グループ変更後の新しいサインイン状態や既存接続も考慮して確認してください。
結論として、OUとGPOは利用者へのドライブ配布、セキュリティグループとアクセス許可はデータの保護に使います。役割を分けて管理すれば、使いやすさとアクセス制御を両立できます。
コメント