Windows Server 2022でファイルサーバーを構築する手順は、用途と容量の設計、専用データボリュームの準備、File Server役割の確認、NTFS権限の設計、SMB共有作成、名前解決とファイアウォール、監査・バックアップ、クライアント試験、段階移行の順です。最初に決めるのは共有名ではなく、誰が何を読み書きし、どれだけ増え、何時間止められ、どう復元するかです。Cドライブ直下や管理共有を業務共有にせず、データ用ボリュームと部署別フォルダーを用意します。SMB1を有効にしたりEveryoneへフルコントロールを付けたりして接続を通さず、Windows Server 2022が対応するSMB 3.1.1、署名、暗号化をクライアント互換と合わせて設計します。
構築前に要件を数値化する
利用者数、同時接続、現在容量、年間増加、最大ファイル、ファイル数、バックアップ保持、復旧目標、拠点回線、機密区分を整理します。Office文書中心の部署共有と、CAD・映像・アプリデータではIOと帯域の要件が違います。単体サーバーでよいか、DFS Namespace、フェールオーバークラスター、Azure File Syncなどが必要かも障害許容時間で判断します。単体サーバーへ全社データを集約するなら、サーバー障害、ストレージ障害、ランサムウェア、誤削除、拠点断に対する復旧策を別々に用意してください。RAIDはディスク障害への冗長化であり、バックアップの代わりではありません。
- 共有ごとにデータ所有部門、管理者、読み取り・変更グループ、機密区分、保持期限を決める。
- 容量、増加率、クォータ、シャドウコピー、バックアップ、別媒体・別資格情報の保管を設計する。
- サーバー名、DNS別名、共有名、UNC、将来の移行名を命名規則で固定する。
- Windows 11、古いWindows、macOS、複合機、業務機器など実際のSMBクライアントを列挙する。
- RPO、RTO、保守停止、監視、更新、証明書、監査ログ、インシデント連絡先を決める。
Windows Server 2022を基盤標準へ合わせる
ファイルサーバーはWindows Server 2022を最新の保守状態にし、固定または予約IP、正しいDNS、時刻同期、ドメイン参加、Defender、監視、バックアップエージェントを組織標準で設定します。File Server役割サービスは一般的な共有で使用し、FSRM、DFS、Data Deduplication、iSCSIなどは要件があるものだけ追加します。不要な役割を入れるほど更新と攻撃面が増えます。Server Coreを選ぶ場合は、Windows Admin CenterまたはリモートPowerShellの管理経路と緊急時コンソールを準備します。ローカル管理者を日常の共有権限に使わず、ADグループで委任します。
データ用ボリュームとフォルダーを準備する
OSと業務データを同じ小さなボリュームへ置くと、共有増加がWindows更新やログを圧迫します。冗長化したストレージ上にデータ用ボリュームを作り、ボリュームラベル、ドライブ文字またはマウントポイント、アロケーションユニット、暗号化、容量監視を設計します。たとえばD:\Shares\Departmentのように共有ルートを分けますが、実際のパスはバックアップ製品、クラスター、運用標準と合わせます。ルートへ利用者の変更権限を与えず、各部署サブフォルダーでグループ権限を設定します。システム、監査、バックアップのサービスアカウントに必要な権限も明文化します。
共有権限とNTFS権限を二層で設計する
ネットワーク経由の実効アクセスは共有権限とNTFS権限の両方で評価され、より制限の強い結果になります。共有権限を広めにしてNTFSで詳細制御する方式、両方を対応させる方式のどちらでも、組織内で一貫させてください。利用者をフォルダーACLへ直接並べず、「部署A-Read」「部署A-Modify」のような役割グループへ所属させます。Modifyは作成・変更・削除を含むため、削除を許可できない要件なら製品設計と業務フローを再確認します。Denyは継承やグループ重複で予想外の拒否を生みやすく、明確な要件がある場合だけ使います。
- 所有部門の読み取りグループにはRead and Execute、変更グループには必要範囲のModifyを付ける。
- 管理者、SYSTEM、バックアップサービスの権限を運用・復元要件に合わせて保持する。
- 継承を止めるフォルダーを最小化し、例外ACLの理由と期限を台帳へ残す。
- Access-based Enumerationを使う場合も、非表示はアクセス制御そのものではないと理解する。
- 共有リンクの所有者、外部公開禁止、機密ファイルの暗号化・ラベル要件を利用者へ案内する。
SMB共有を作成する
Server ManagerのFile and Storage Services、Sharesから新しい共有ウィザードを開き、SMB Share – Quickなど用途に合うプロファイルを選びます。共有名、ローカルパス、説明、オフラインキャッシュ、Access-based Enumeration、暗号化を設定し、権限画面で共有とNTFSを確認します。管理用の末尾$共有は一覧で見えにくくするだけで、アクセス制御ではありません。業務名と実パスを分離し、UNCを将来も維持できる命名にします。PowerShellのNew-SmbShareでも作れますが、本番ではGet-SmbShareとGet-SmbShareAccessで現状を記録し、承認済みの値をレビューしてから作成します。
Get-SmbShare | Sort-Object Name | Format-Table Name, Path, Description
Get-SmbShareAccess -Name "共有名"
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol, EnableSMB2Protocol, EncryptData, RequireSecuritySignature
上記は読み取り確認です。「共有名」は実環境の対象に置き換えます。結果にはサーバー構成や共有名が含まれるため、外部へ公開しません。New-SmbShareにはReadAccess、ChangeAccess、FullAccess、EncryptDataなどの引数がありますが、誤った対象へ実行すると共有が即時公開されます。GUIで一度標準構成を検証して設定レポートを保存し、自動化するときはテストサーバーとWhatIf対応の有無、重複名、既存パス、復旧を確認します。
SMB署名・暗号化・古いクライアントを整理する
Windows Server 2022はSMB 3.1.1をサポートし、共有単位またはサーバー単位のSMB暗号化を利用できます。暗号化は盗聴対策になりますが、クライアント対応とCPU・性能を検証します。SMB署名は改ざんと中間者攻撃への防御で、Windows Server 2025やWindows 11 24H2で既定要件が強化された点をServer 2022の既定と混同しません。移行前に監査と実機試験で非対応クライアントを特定し、セキュリティを緩和するのではなく機器更新、セグメント分離、別プロトコルを検討します。SMB1は古く危険なため、接続できない機器のためにサーバー全体で有効化する方法を標準にしません。
ファイアウォールと名前解決を最小範囲で設定する
クライアントはUNCでサーバー名を解決し、SMBへ接続します。DNSの正引き・逆引き、ADサイト、時刻、KerberosのSPN、サーバー別名を確認します。Windows FirewallはFile and Printer Sharingの必要な規則を、ドメインプロファイルと管理された送信元範囲に限定して有効化します。接続試験のために全プロファイルを無効にしません。別名を使う場合は、単にDNS CNAMEを作るだけで認証が成立するとは限らないため、Microsoftの公式手順に従ってSPNと名前の設計を行います。IPアドレス直打ちはKerberosや将来移行を妨げるため、利用者へ配布するUNCには安定した名前を使います。
監査、クォータ、シャドウコピーを要件で追加する
誰がどのファイルを開いたかを常時すべて監査すると、ログ量と性能が大きくなります。機密共有、削除、権限変更など監査目的を絞り、Advanced Audit PolicyとフォルダーSACLを組み合わせ、ログ転送と保持を用意します。FSRMのクォータやファイルスクリーンは容量事故と禁止ファイルの抑止に役立ちますが、業務ファイルを突然拒否しないよう通知型から検証します。Volume Shadow Copyは利用者の誤削除復旧を速めますが、同一ストレージ障害やランサムウェアからの独立バックアップではありません。領域、スケジュール、保持、利用者復元権限を設計します。
バックアップを取得し復元を試す
バックアップ対象にはデータだけでなく、ACL、共有定義、FSRM、DFS、証明書、暗号化キー、サーバー構成を含めます。バックアップ先は通常の利用者資格情報から分離し、別媒体または不変保持を検討します。成功ログだけでなく、単一ファイル、フォルダー、ACL付き復元、サーバー全体、別名サーバーへの復元を定期的に試します。暗号化ファイルやEFSを使う場合は回復証明書を安全に保管します。RPOに合う間隔、RTOに合う転送と復元時間を実測し、容量増加に合わせて見直します。
既存データを段階的に移行する
旧サーバーから移行するときは、共有を止める前にデータ量、ファイル数、長いパス、アクセス拒否、リンク、所有者、ACLを読み取りで調査します。RobocopyなどMicrosoft標準ツールを使う場合は、コピー対象、ACL、時刻、再試行、ログ、ミラー動作を検証し、削除を伴うオプションを本番の最初から使いません。初回コピー、差分コピー、利用者停止、最終差分、ACLとハッシュ確認、UNC切替、旧共有読み取り化、監視という段階に分けます。元データをすぐ消さず、復旧期限までアクセスを制限して保持します。
クライアント受入テスト
- 権限別の検証ユーザーでUNCを開き、一覧、読み取り、作成、更新、削除、拒否を確認する。
- 大容量・多数小ファイル・Officeロック・長い名前・日本語名を代表データで試す。
- Get-SmbConnectionやSMBClient/SMBServerイベントでDialect、署名、暗号化、失敗を確認する。
- バックアップ中、ウイルススキャン中、ネットワーク断、サーバー再起動後の復帰を確認する。
- シャドウコピーまたはバックアップからACL付きで復元し、元の所有部門に確認してもらう。
- 監視アラート、容量閾値、連絡、更新、停止、復旧手順を運用担当へ引き渡す。
Windows Server 2022ファイルサーバーは、共有が見えた時点では未完成です。最小権限、SMB保護、容量監視、監査、独立バックアップ、実復元、段階移行まで通して初めて業務データを預けられます。小さな検証共有で一連の手順を完成させ、その設定レポートとテスト結果を次の共有へ横展開してください。
コメント