誤って C:\Windows\Temp（システム一時フォルダー）の権限を触ってしまい、「Windows Update やインストールが将来壊れるのでは？」と不安になるケースがあります。ここでは ACL の仕組みと影響の見極め方、そして安全に“ほぼ既定”へ寄せる手順をまとめます。
結論：今の状況は「破損」よりも「少し緩んだ」可能性が高い
C:\Windows\Temp の ACL（アクセス制御リスト）を編集してしまったとしても、次の条件を満たしているなら、機能が壊れている可能性は低めです。
- 所有者が SYSTEM のまま
- SYSTEM と Administrators がフルコントロールを持っている
- Windows Update、MSI インストール、ドライバー更新など “書き込みを伴う処理” が完走している
今回のように「一時的に継承を ON→OFF にした」「自分のアカウントを削除／再付与した」程度だと、親（C:\Windows）側のエントリが コピーされて残った だけで、必要な権限は維持されていることが多いです。見え方が変わっても、内部的に致命傷になっているとは限りません。
まず整理：C:\Windows\Temp と %TEMP% は別物
混同が多いポイントなので、最初に役割の違いを押さえます。日常的に触るのは基本的にユーザー側の %TEMP% で、C:\Windows\Temp は “システム寄り” の作業場です。
| 項目 | C:\Windows\Temp（システム一時） | %TEMP%（ユーザー一時） |
|---|---|---|
| 場所の例 | C:\Windows\Temp | C:\Users\<ユーザー>\AppData\Local\Temp |
| 主に使う主体 | SYSTEM、サービス、インストーラー（MSI など） | ログオン中のユーザー、ユーザー権限のアプリ |
| 権限設計の狙い | システム処理が確実に書き込めるようにしつつ、不要に公開しない | ユーザーが自由に作成・削除できる作業場 |
| 触りやすさ | 管理者権限や UAC が絡みやすい | 通常はそのまま操作できる |
| よくある誤解 | 「ここが %TEMP% だ」と思い込み、誤って ACL を整理してしまう | 掃除（ディスククリーンアップ等）の対象にしやすい |
Windows は “一時ファイル” という単語が多すぎて混乱しがちですが、C:\Windows\Temp は OS やサービスが使うことがあるため、権限を極端に変更するとインストールや更新で事故りやすい 場所でもあります。逆に言うと、既に Windows Update / MSI / ドライバー更新が通っているなら、必要な通路は塞がれていないと判断しやすいです。
ACL と「継承」を理解すると、不安が一気に減る
Windows のアクセス権は、ざっくり次の 3 つでできています。
- 所有者（Owner）：権限を編集できる最終責任者のような概念
- アクセス許可（ACL）：誰が何をできるかのルール集合
- 継承（Inheritance）：親フォルダーのルールを子に引き継ぐ仕組み
エクスプローラーの「セキュリティ」→「詳細設定」で継承を無効化すると、たいてい次の選択肢が出ます。
- 継承されたアクセス許可を、このオブジェクトの明示的なアクセス許可に変換する（＝コピーして残す）
- 継承されたアクセス許可をすべて削除する（＝親由来のものを消す）
多くの人が選びがちで安全寄りなのは前者です。これを選ぶと、親フォルダー由来のエントリ（TrustedInstaller や ALL APPLICATION PACKAGES など）が “継承” ではなく “明示” として残る ため、「以前は見えなかった主体が増えた」「急に一覧が賑やかになった」と感じやすくなります。ですが、これは “破損” というより “見える化” に近い現象です。
TrustedInstaller / ALL APPLICATION PACKAGES が見えても異常ではない
Windows 8 以降、UWP 系やサンドボックス実行の都合で ALL APPLICATION PACKAGES、より制限された ALL RESTRICTED APPLICATION PACKAGES といったグループが ACL に登場します。C:\Windows\Temp に存在していても、それ自体は正常な範囲です。
| 主体（アカウント/グループ） | ざっくり役割 | 勝手に消すと困る理由 |
|---|---|---|
| SYSTEM | OS やサービスが使う超強い実行主体 | 更新・インストール・デバイス設定が失敗しやすくなる |
| Administrators | 管理者グループ | トラブル時の復旧が難しくなる |
| NT SERVICE\TrustedInstaller | Windows モジュールの保護と更新に関わる | Windows コンポーネント更新で想定外の拒否が出る可能性 |
| LOCAL SERVICE / NETWORK SERVICE | サービスが使う軽量な実行主体 | サービスが一時ファイルを作れず、間接的に不具合が出ることがある |
| ALL APPLICATION PACKAGES | ストアアプリなどの実行主体（まとめ役） | アプリ動作や一部の機能で権限不足になる可能性 |
| ALL RESTRICTED APPLICATION PACKAGES | より制限されたアプリ実行主体 | セキュアなアプリの想定動作に影響する可能性 |
| CREATOR OWNER | 作成者に対する権限のテンプレート | 新規作成ファイルの扱いが変わり、意図しない拒否に繋がることがある |
逆に、「自分のアカウントをフルコントロールで追加した」「Users に読み取りと実行が追加で付いた」などは、機能面よりも セキュリティ面の“ゆるみ” として捉えると整理しやすいです。
機能面の影響：動いているなら “書き込み経路” は生きている
Windows Update、MSI、GPU ドライバー更新が通るかどうかは、C:\Windows\Temp の権限問題を判定するうえで分かりやすい指標です。これらの処理は主に SYSTEM やサービス権限で動き、途中で一時ファイルを作って展開・検証します。
もし C:\Windows\Temp の ACL が致命的に壊れているなら、次のような症状が出やすくなります。
- 更新が途中で失敗し、「アクセスが拒否されました」系のエラーが混ざる
- MSI インストールでエラー 2203 など、Temp に書けない系の失敗が出る
- ドライバー更新が “展開” はするが “適用” が失敗する、あるいはロールバックする
これらが起きていないなら、少なくとも現在の構成は実運用に耐えています。「見えない不具合が出ないか」という不安はもっともですが、Windows の更新・導入系が素直に動いている時点で、重大な破綻は考えにくいです。
セキュリティ面の影響：心配すべきは「余分な許可」が増えること
C:\Windows\Temp は “何でも置けるゴミ箱” ではなく、システム処理が参照する可能性のある作業場です。ここに対して、必要以上に強い権限を一般ユーザーへ付与すると、次のような方向でリスクが増えます。
- ユーザー権限で動く不正なプログラムが、Temp を足がかりにファイルを置きやすくなる
- 誤操作で重要な一時ファイルを消したり、アクセス権をさらに弄ってしまう確率が上がる
ただし、今回のケースでは「所有者は SYSTEM のまま」「更新・インストールが通っている」という状況から、直ちに危険というより “最小権限から少し外れた” 程度に留まっている可能性が高いです。気持ち悪さを減らしたいなら、余分なエントリだけを最小限に剥がすのが現実的です。
現状チェック：まずはこの項目だけ見れば十分
“完全一致の既定 ACL” を追いかけると、ビルド差・環境差で沼ります。優先度の高いものだけ確認しましょう。
| チェック項目 | 目安 | 意味 |
|---|---|---|
| 所有者 | SYSTEM | システムフォルダーの責任者が正しい |
| 継承 | 無効（OFF） | 親（C:\Windows）と切り離した設計に戻せる |
| SYSTEM / Administrators | フルコントロール | 更新・サービス・復旧の基本経路 |
| Users | 書き込み中心の特殊許可が残っている | 必要な場面での一時ファイル作成を担保 |
| 実運用テスト | 更新・インストールが完走 | “困る権限不足” が起きていない証拠 |
ここで重要なのは、Users が “読み取りと実行” を持つかどうかよりも、必要なときに一時ファイルを作れること です。環境によっては Users に限定的な書き込み権限が付いていることがあります（例：このフォルダーのみ、またはファイル作成のみ等）。一方で、あなた個人にフルコントロールが付くのは、セキュリティ的には “余分” になりやすいポイントです。
気になるなら：GUI でできる「軽い戻し方」（安全志向）
変更前の状態が完全に分からなくても、「壊さない」ことを最優先にして“ほぼ既定”へ寄せられます。ポイントは 所有者を変えない、継承をむやみに ON にしない、余分なエントリだけを外す の 3 つです。
- エクスプローラーで C:\Windows\Temp を右クリック →「プロパティ」→「セキュリティ」→「詳細設定」を開きます。
- 上部の「所有者」が SYSTEM になっていることを確認します（ここは変更しません）。
- 「継承の有効化/無効化」が表示されている場合、継承は無効（OFF）のまま にします。
- アクセス許可の一覧を見て、次のような “余分になりがちな” エントリを探します。
- 自分のアカウント：フルコントロール（このフォルダー、サブフォルダーおよびファイル）
- Users：読み取りと実行が “追加で” 付いているもの
- 上記が確認できたら、余分なものだけ を削除します。
- 次のような主体は、原則として触らないでください。
- SYSTEM / Administrators / TrustedInstaller
- CREATOR OWNER
- LOCAL SERVICE / NETWORK SERVICE
- ALL APPLICATION PACKAGES / ALL RESTRICTED APPLICATION PACKAGES
- 「適用」→「OK」で閉じます。
削除のコツ：Users が複数行ある場合、片方が「特殊なアクセス許可（書き込み系）」で、もう片方が「読み取りと実行」といった分かれ方をしていることがあります。欲しいのは前者で、余分になりがちなのは後者です。迷ったら、次の観点で見分けます。
| 見分けポイント | 残す候補 | 削除候補 |
|---|---|---|
| アクセス許可の種類 | 特殊なアクセス許可（ファイル作成/書き込み中心） | 読み取りと実行、一覧表示 |
| 適用先 | このフォルダーのみ（または特定の条件付き） | このフォルダー、サブフォルダーおよびファイル |
| 目的 | 必要な場面だけ一時ファイルを作れるようにする | 「見えるから付けた」系の緩みになりやすい |
そして、個人アカウントのフルコントロールは、便利ですが “不要な強さ” になりがちです。管理者の自分がメンテする前提でも、C:\Windows\Temp は誤操作の温床になりやすいので、気持ち悪さが残るなら外しておくのが無難です。
コマンドで確認・バックアップ（やるなら先に保険）
GUI で触る前に「今の ACL を控えておきたい」場合、icacls でテキスト化しておくと安心です。バックアップがあると、余計な変更をしてしまったときに“戻る手がかり”になります。
icacls "C:\Windows\Temp"
保存しておくなら、例えばデスクトップへ書き出します（管理者として実行したコマンドプロンプト/PowerShell 推奨）。
icacls "C:\Windows\Temp" /save "%USERPROFILE%\Desktop\acl_windows_temp.txt" /c
大量のサブフォルダーまで含めるとバックアップが膨らむことがあるため、必要がなければまずはフォルダー自体の確認からで十分です。「復元まで完璧にやりたい」より、余分な部分だけ最小限に直す 発想のほうが事故りにくいです。
避けたい操作：やりがちだけど事故りやすいポイント
- 所有者を SYSTEM 以外に変える（戻せなくはないが、権限の整合性を崩しやすい）
- 継承を有効（ON）にして置換する（親 C:\Windows の影響を受け、意図せず構成が変わる）
- icacls の /reset を安易に使う（権限の“方針”ごと変わることがあり、既定の「継承 OFF」設計から外れる場合がある）
- 「これが正解」と決め打ちで完全一致を狙う（環境差で無駄にいじる回数が増え、結果的にリスクが上がる）
特に /reset は「とりあえず初期化したい」ときに魅力的ですが、C:\Windows\Temp のような “例外的な設計” の場所では、想定と違う落とし穴になり得ます。安全に寄せるなら、余分な 1〜2 件を外す くらいの粒度がちょうど良いです。
もし将来トラブルが出たら：権限問題かどうかの切り分け
「なんとなく不調」を全部 ACL のせいにすると迷走します。権限問題っぽい症状を、よくある例でまとめます。
| 症状/エラー例 | 権限が原因の可能性 | まず確認すること |
|---|---|---|
| MSI のエラー 2203 / 1926 が出る | 中〜高 | %TEMP% と C:\Windows\Temp の両方の書き込み可否、所有者/SYSTEM 権限 |
| Windows Update が「アクセス拒否」系で失敗 | 中 | SYSTEM/TrustedInstaller の権限、継承の扱いが変わっていないか |
| インストールが途中でロールバックする | 中 | Temp への展開ができているか、空き容量、ウイルス対策のブロック |
| 普段のアプリが一時ファイル作成に失敗 | 低〜中 | まずは %TEMP% のパスと権限、ディスク容量、プロファイル破損 |
| 特定のストアアプリだけ動かない | 低〜中 | ALL APPLICATION PACKAGES の権限、アプリの修復/再登録 |
権限が原因であれば、ログやメッセージに “Access is denied（アクセスが拒否されました）” が顔を出しやすいです。逆に、アクセス拒否が一切なく、更新もインストールも通るなら、C:\Windows\Temp の ACL は“犯人”ではない可能性が高いです。
健全性チェック：不安を減らす「健診」として有効なこと
ACL を直接「元に戻す」機能ではありませんが、OS の整合性を確認して気持ちを落ち着かせたいなら、次のような健康診断は定番です。
- sfc /scannow：システムファイルの破損チェック（ACL 修復ではない）
- DISM /Online /Cleanup-Image /RestoreHealth：コンポーネントストアの修復（環境によっては時間がかかる）
sfc /scannow
DISM /Online /Cleanup-Image /RestoreHealth
加えて、Windows Update の履歴がきれいに積み上がっているか、最近のアプリ更新やドライバー更新がエラーなく完了しているかを見るだけでも、「少なくとも実害がない」ことを確認できます。
よくある質問
UAC の「続行」を押しただけで ACL は変わりますか？
基本的に、UAC の「続行」は “管理者としてアクセスを許可して閲覧/操作できるようにする” ためのもので、押しただけで ACL が書き換わることは通常ありません。ACL が変わるのは、プロパティのセキュリティ画面などで実際に「追加」「削除」「適用」を行ったときです。
継承を ON→OFF にしたら壊れますか？
ON→OFF 自体が破壊的というより、OFF にするときに何を選ぶか（継承を変換して残すのか、削除するのか）がポイントです。変換（コピー）を選んだなら、親のエントリが “残って見える” ようになっただけのことが多いです。今回、更新やインストールが通っているなら、少なくとも致命的な欠落は起きていない可能性が高いでしょう。
TrustedInstaller が追加されたのが不安です
TrustedInstaller は Windows の保護や更新に関わる主体で、特に Windows 配下では一般的に登場します。増えたように見えるのは「継承を変換して明示化した」影響であることが多く、存在自体は異常ではありません。むしろ無理に消すほうが、将来の更新で困る確率が上がります。
ALL APPLICATION PACKAGES があるのは危険ですか？
危険というより、Windows のアプリ実行モデルを支えるためのグループです。適切な範囲の権限（多くは読み取り中心、または限定的）で付与されている限り、正常な構成の一部と考えて問題ありません。削除してしまうと、ストアアプリや一部機能がアクセス権不足になることがあります。
「既定の ACL」に完全に戻したいのですが？
“完全一致” を狙うと、ビルド差、メーカー独自カスタマイズ、過去のアップデート差で一致しないケースがあり、試行回数が増えて事故りにくいです。実務的には、所有者/SYSTEM/Administrators が正しい ことと、余分な強権限（個人フルコントロールなど）を外す ことを優先すれば、セキュリティと安定性のバランスが取りやすいです。
まとめ：不安の正体を分解して、最小変更で片付ける
- C:\Windows\Temp は %TEMP% とは別で、OS やインストーラーが使う “システム一時フォルダー”
- 継承を ON→OFF にした影響で、TrustedInstaller や ALL APPLICATION PACKAGES が見えるようになることはある
- Windows Update / MSI / ドライバー更新が成功しているなら、機能面の致命傷は低い
- 気になるなら、所有者は SYSTEM のまま、継承はむやみに ON にせず、余分な 1〜2 件だけ外す のが安全
「壊したかも」という不安は、見慣れない主体が増えた“見た目の変化”から来ることが多いです。必要な権限が維持されている限り、焦って大幅リセットをするより、最小限の整理で落ち着かせるのがいちばん確実です。
コメント