Windowsの共有フォルダーを一部の人だけに使わせたい場合は、ユーザー認証と、共有・ファイルシステムのアクセス許可を組み合わせます。「フォルダーに独立したパスワードを付ける」「決まったPCだけを許可する」「保存データを暗号化する」は別の要件です。資格情報マネージャーへパスワードを保存しただけでは、他のPCからの接続を禁止できません。
この記事はWindowsのファイル共有で、特定の利用者にアクセスを限定する考え方と確認手順を説明します。実運用の権限変更は、所有者・管理者の承認と復旧手段を用意し、まず検証用フォルダーで確認してください。
目的別に必要な仕組みを選ぶ
共有フォルダーを特定の人だけに使わせたい：共有元で認証できるユーザーやグループを用意し、そのIDへ必要な許可を割り当てます。読み取りだけか、変更・削除も必要かを分けます。
フォルダーを開くたびに別の合言葉を要求したい：通常のWindowsフォルダーのアクセス許可は、その方式ではありません。サインイン済みユーザーやネットワーク認証を使うため、毎回の入力画面が出ないこともあります。
特定の端末だけを許可したい：ユーザー権限とは別に、組織の端末認証・ネットワークアクセス制御などの設計が必要です。同じ資格情報を別PCで使える状態なら、許可があれば別PCからもアクセスできる可能性があります。
盗難や持ち出し時のデータを守りたい：暗号化と鍵の管理を検討します。アクセス許可だけ、フォルダー名の非表示だけ、共有名末尾の$だけで暗号化されることはありません。
「パスワード保護共有」はフォルダー個別のパスワードではない
パスワード保護共有は、共有元の認証を使ってアクセスさせるための設定で、サブフォルダーごとに別のパスワードを付ける機能ではありません。有効でも、そのユーザーにどのフォルダーを許可するかは別途確認が必要です。
Windows 11では設定の「ネットワークとインターネット」から詳細共有設定を確認します。画面配置は版によって異なります。組織端末ではポリシーに従い、接続できないからといってパスワード保護を無効化したり、ゲストアクセスを有効にしたりしないでください。
ドメイン認証、保存済み資格情報、既存の共有接続などが使われる場合、毎回パスワード入力は表示されません。「入力画面が出ない＝誰でも使える」とは判断せず、共有元でどのユーザーとしてアクセスしているかを確認します。
共有アクセス許可とNTFSアクセス許可の両方を確認する
ネットワーク経由の共有アクセスでは、共有のアクセス許可と、対象フォルダーのNTFSアクセス許可の両方を満たす必要があります。共有側が読み取りのみなら、NTFS側で変更を許可しても共有経由の書き込みはできません。ローカルで開く場合と共有経由では、確認する経路が違います。
フォルダーのプロパティにある「共有」と「セキュリティ」を混同しないことが重要です。ローカルのNTFS権限だけを追加しても、既存の広いグループへの許可が残っていれば、そのグループの利用者を除外したことにはなりません。
Microsoftのアクセス制御の概要では、認証済みユーザーに対して許可を評価する仕組みと、ユーザー・グループ、継承の考え方を説明しています。設定対象がWindowsサーバーではなくNASの場合は、NAS側の認証・権限仕様も確認してください。
設定前に、許可する人と操作を決める
例えば「経理担当グループは変更可能、監査担当グループは読み取りのみ、その他の一般利用者は対象外」という要件を先に決めます。これは構成例であり、その名前のグループが自動的に存在するわけではありません。実際の所属と管理者の運用に合わせて用意します。
通常のファイル編集にフルコントロールが必要とは限りません。フルコントロールにはアクセス許可の変更なども含まれるため、閲覧なら読み取り、編集が必要なら変更など、業務上必要な範囲を選びます。「変更」には削除も含まれる点を確認してください。
「特定の人以外に読ませない」が目的なら、他の人へ読み取り専用を付けるのも要件違反です。反対に、全員へ一括の拒否を付けると、許可したいユーザーも所属グループを通じて影響を受けるおそれがあります。拒否を追加する前に、不要な許可と継承を整理できるかを検討します。
対象フォルダーでアクセス許可を確認・調整する順序
1. 管理者が対象の実パスと共有名、所有者、既存の共有許可・NTFS許可・親からの継承を記録します。バックアップやサービスが使うアカウントも確認し、戻せる状態にします。
2. フォルダーの「プロパティ→セキュリティ」で、正しいユーザーまたはグループを選び、必要最小限の許可を設定します。似た表示名でも、ローカルアカウントかドメインアカウントかを確認してください。
3. 特定の利用者だけに制限する場合は、既存のUsersやEveryoneなどの広い許可が残っていないか、親から引き継がれていないかを確認します。継承を切るか、別の専用フォルダーへ分けるかは設計上の判断です。継承を無効にしただけでは、コピーした既存の許可が消えるわけではありません。
4. 共有側でも、必要な利用者と操作が許可されているか確認します。既存の共有全体を狭めると、別のサブフォルダーの利用者まで影響するため、変更範囲を区別します。
5. 許可するユーザーと許可しないユーザーの両方でテストします。管理者本人で開けることだけでは検証になりません。ファイルを読む・作る・編集する・削除する操作を、実データではなく検証用データで確認します。
SYSTEM、Administrators、バックアップ用アカウントなどを理由なく削除したり、親以下の全権限を一括で置き換えたりしないでください。影響範囲が分からない場合は、その変更を止めて管理者に相談します。
資格情報マネージャーでできること・できないこと
資格情報マネージャーは、接続時に使う保存済み資格情報を確認・管理する機能です。アクセスを許可する側の設定ではなく、フォルダーのアクセス権や端末の許可リストを作るものでもありません。参照：Microsoft：資格情報マネージャー。
保存が必要な場合は、実際に接続する共有元のホスト名など、管理者が指定する対象とアカウントを確認します。フォルダーごとに別パスワードが保存されると考えないでください。共有PCでは保存による影響を検討し、組織の方針に従います。
ワークグループ環境では共有元PC上のアカウント、ドメイン環境では組織のアカウントなど、認証先を区別します。Windowsへのサインインに使うPINを、そのまま共有用パスワードとして扱わないでください。パスワードは手順書やコマンドへ平文で残さず、チャットなどで共有しません。
パスワード変更後に接続できない場合は、対象ホストの保存情報と現在の接続を確認します。無関係な資格情報を一括削除したり、すべての共有接続を強制切断したりせず、開いているファイルと利用者への影響を確認して対象を限定します。
暗号化したい場合はアクセス権とは別に考える
WindowsのEFSによるファイル暗号化は、対象の証明書と秘密鍵を使う仕組みで、フォルダー共通の合言葉を作る機能ではありません。MicrosoftはHomeエディションではファイル暗号化を利用できないと案内しています。暗号化を使う場合は、鍵のバックアップと回復方法を先に確認してください。参照：Microsoft：ファイルまたはフォルダーを暗号化する。
BitLockerなどのドライブ暗号化も、起動後に正規ユーザーとしてアクセスできる人をフォルダー単位で振り分ける代わりにはなりません。データの保存時・通信時・利用時のどこを保護したいかを分け、組織で承認された方法を選びます。
よくある問題の切り分け
許可したのにアクセス拒否：実際の認証ユーザー、グループ所属、共有側とNTFS側の両方、拒否や継承、対象パスを確認します。接続できないことと、接続後に権限が不足することは分けて調べます。
許可していない人も開ける：既存のグループ許可、親からの継承、保存済みの別ユーザー資格情報、すでに接続中のセッションを確認します。新しいユーザーを追加しただけでは、以前の許可は取り消されません。
別のPCでも同じユーザーが開ける：ユーザー単位の許可であれば、それだけで不具合とは限りません。端末限定の要件があるなら、資格情報保存とは別の制御が必要です。
共有自体が見つからない：名前解決、正しい共有パス、ネットワーク接続、必要なファイアウォール規則を管理者と確認します。ファイアウォール全体の停止、SMB1や安全でないゲストログオンの有効化を一般的な解決策にしないでください。
まとめ：認証・権限・端末制限・暗号化を混同しない
特定フォルダーを限られた人に使わせるには、正しいユーザー・グループと最小限のアクセス許可を設定し、既存の許可と継承を含めて検証します。資格情報の保存だけでは特定PC専用にならず、入力画面の有無だけで保護状態も判断できません。許可ユーザー・非許可ユーザーの両方で、実際の共有経路から確認してください。
コメント