NTFS と共有権限の完全ガイド

Windows セキュリティの基本はシンプルです。ファイルやフォルダーなどのネットワーク リソースにアクセスしたい場合は、適切な権限が必要です。しかし、実装はより複雑になります。Windows のオペレーティング システムには、2 種類の権限があるためです。ファイル システム レベルで動作する NTFS 権限と、共有リソースへのネットワーク アクセスを管理する共有権限です。

この記事では、NTFS 権限と共有権限を比較し、それぞれの権限タイプで何ができるのか、どこがどう違うのか、そして NTFS 権限と共有権限を併用して 最小特権の原則 をすべての Windows マシンにわたって徹底する方法を解説します。

NTFS とは？

NTFS（New Technology File System）は、Microsoft Windows NT およびそれ以降のオペレーティング システムで標準となっているファイル システムで、File Allocation Table（FAT）と呼ばれる従来のファイル システムに置き換えられました。ただし、FAT（特に FAT32）は今でも使われており、とくにリムーバブル ストレージ デバイスでよく利用されます。

NTFS は Master File Table（MFT）を通じて、効率的な保存と取得をサポートします。MFT はディスク上のすべてのファイルとディレクトリを追跡します。この構造により、NTFS は高速なアクセス時間を維持しながら、大量のデータを効果的に管理できます。さらに、ファイル サイズのサポートにより、今日のモダンなアプリケーションやメディア ストレージの要求にも対応可能です。セキュリティ面では、ファイルおよびフォルダーの両方のレベルで暗号化をサポートし、管理者がファイルやフォルダーに対して詳細な権限を設定できるようにします。

NTFS の権限とは？

NTFS のアクセス許可は、アクセスを管理するために使用されます NTFS ファイル システムに格納されたデータへのアクセスを制御します。NTFS の共有許可の主な利点は、ローカル ユーザーとネットワーク ユーザーの両方に影響すること、そして、ユーザーがどこから接続しているかに関係なく、Windows ログオン時にその個々のユーザーに付与された許可に基づいていることです。

NTFS のアクセス許可には、基本的なものと高度なものの両方があります。各許可を「許可(Allow)」または「拒否(Deny)」に設定して、NTFS オブジェクトへのアクセスを制御できます。基本的なアクセス許可の種類は次のとおりです：

• フル コントロール — ユーザーは、ファイルおよびディレクトリを追加、変更、移動、削除できるほか、それらに関連するプロパティも変更できます。さらに、すべてのファイルおよびサブディレクトリのアクセス許可設定を変更することも可能です。
• 変更 — ユーザーは、ディレクトリにファイルを追加したり、ディレクトリからファイルを削除したり、あるいはファイルに対してファイル属性を追加／削除したりすることを含めて、ファイルとファイル プロパティを表示および変更できます。
• 読み取りと実行 — ユーザーはスクリプトを含む実行可能ファイルを実行できます。
• 読み取り — ユーザーはファイル、ファイルのプロパティ、およびディレクトリを表示できます。
• 書き込み — ユーザーはファイルに書き込んだり、ディレクトリにファイルを追加したりできます。

NTFS のアクセス許可を設定する方法（手順ガイド）

1. 共有フォルダーを右クリックします。
2. ［セキュリティ］タブを開いて、編集をクリックします（以下のとおり）。

• クリック 追加。 次に、目的のグループを選択します（HR Personnel 以下の例では）、そのうえで下に示すように［許可（Allow）］および［拒否（Deny）］のチェックボックスを使用して、目的の権限を割り当てます。

• クリック 適用 して権限を適用します。

共有権限とは？

共有権限は、集中管理されたファイル サーバー上の共有フォルダーなど、ネットワーク経由で共有されるフォルダーへのアクセスを管理します。共有権限は、ローカルにログオンするユーザーには適用されません。共有権限は共有内のすべてのファイルおよびフォルダーに適用されます。つまり、共有内のサブフォルダーやオブジェクトへのアクセスをきめ細かく制御することはできません。共有フォルダーへのアクセスを許可するユーザーの数を指定できます。共有フォルダーの権限は、NTFS、FAT、および FAT32 のファイル システムで使用できます。

共有権限には次の 3 種類があります：

• 読み取り — ユーザーはファイルおよびサブフォルダーの名前を表示し、ファイル内のデータを読み取り、プログラムを実行できます。既定では、Everyone グループに 読み取り 権限が割り当てられます。
• 変更 — ユーザーは、読み取り権限で許可されているすべての操作に加えて、ファイルおよびサブフォルダーの追加、ファイル内のデータの変更、サブフォルダーやファイルの削除も行えます。この権限は既定では割り当てられていません。
• フル コントロール — ユーザーは、読み取り権限と変更権限で許可されているすべての操作を行えるほか、NTFS ファイルおよびフォルダーに限って権限を変更することもできます。既定では、Administrators グループにフル コントロール権限が付与されています。

共有権限の設定方法（ステップ バイ ステップ ガイド）

1. 共有フォルダーを右クリックします。
2. クリック プロパティ。
3. ［共有(Sharing)］タブを開き、Share ボタンをクリックしてフォルダーを共有します：

• フォルダーを共有する相手のグループを選び、こちらの例のように共有権限を割り当てます：

• 画面右下のShare ボタンをクリックします。
• フォルダーを共有したら、高度なオプションを設定します。まずAdvanced Sharing をクリックします。

次にPermissions ボタンをクリックします。ポップアップウィンドウで、以下のようにユーザーまたはグループを選び、必要な権限を割り当てます。その後、OK をクリックして割り当てを完了します。

NTFS 権限と共有（Share）権限の主な違い

共有（Share）権限と NTFS 権限 の違いを理解することは、Windows 環境でファイルやフォルダーへのアクセスを適切に管理するうえで欠かせません。両者の主な違いは次のとおりです：

NTFS 権限と共有（Share）権限はどのように連携するのか

NTFS 権限と共有（Share）権限の両方を使用している場合、両者が重複するとどうなるのでしょうか。たとえば、フォルダーの共有権限は Full Control（フル コントロール）になっている一方で、NTFS 権限は Read（読み取り）のみの場合、最終的な結果はどうなりますか？

NTFS 権限と共有（Share）権限を同時に使用する場合、常に最も制限の厳しい権限が適用されます。たとえば、Everyone グループに対する共有フォルダーの権限が Read（読み取り）に設定されていて、NTFS の権限が Modify（変更）に設定されている場合、共有権限のほうがより制限が厳しいため共有権限が適用されます。その結果、ユーザーは共有ドライブ上のファイルを変更できません。

一般的には、共有権限はより高いレベルで設定し、特定のアクセス制御を強制するために NTFS 権限を使用することが推奨されます。たとえば、チームが頻繁にファイルへアクセスする必要がある協働環境の共有フォルダーを考えてみてください。ユーザーのグループに対して共有権限を「Full Control（完全制御）」に設定すると、ネットワーク経由で共有フォルダーに接続したときにアクセス上の問題に遭遇することなく、ファイルを簡単に作成・変更・削除できます。 ただし、その共有フォルダー内の機密データを保護するために、特定のファイルやサブフォルダーへのアクセスを制限する、より厳格な NTFS 権限を適用することができます。このアプローチにより、ユーザーは共有フォルダー内のほとんどのコンテンツと自由にやり取りしながらも、機密情報はより厳格な NTFS 制御によって引き続き保護されます。

アクセス許可（権限）を管理するためのベストプラクティス

以下は アクセス許可（権限）を効果的かつ安全に管理するためのベストプラクティス です：

• どうしても必要な場合を除き、権限は必ず個々のユーザーではなくグループに割り当ててください。個々のユーザーアカウントに権限を割り当てると、複雑で管理しづらい権限構造になりがちです。たとえば、ユーザーが削除された場合、そのユーザーに対する権限エントリは Access Control List (ACL) に孤立した SIDs として残り、システムが煩雑になり、権限管理をさらに難しくします。
• 最小権限の原則（PoLP）を適用する: ユーザーに必要な権限だけを付与し、それ以上は付与しないでください。たとえば、ユーザーがフォルダー内の情報を読み取る必要がある一方で、ファイルを削除・作成・変更する正当な理由がまったくない場合は、「Read（読み取り）」権限のみを付与するようにします。
• ユーザーアカウントではなくグループに権限を割り当てる：権限をグループに割り当てることで、共有リソースの管理が簡単になります。ユーザーの役割が変わった場合は、そのユーザーを適切な新しいグループに追加し、不要になったグループから削除するだけです。
• ローカル ユーザーには NTFS 権限のみを使用する：共有権限は、ネットワーク経由で共有リソースにアクセスするユーザーにのみ適用されます。ローカルにログオンするユーザーには適用されません。
• 同じセキュリティ要件を持つオブジェクトは同じフォルダーにまとめる: たとえば、ある部署のユーザーが複数のフォルダーに対して Read 権限を必要とする場合は、各フォルダーを個別に共有するのではなく、それらのフォルダーを同じ親フォルダーに格納し、その親フォルダーを共有します。
• Everyone グループと Administrators グループを適切に管理する: Everyone グループは公開または機密性の低いリソースに限定し、重要なシステムやデータへのアクセスを許可しないようにします。Administrators グループのメンバーは最小限に保ち、日常的なアカウントに管理者権限を付与するのではなく、管理作業用の別アカウントを使用してください。
• 入れ子になった権限の競合を回避する：フォルダー構造では可能な限り最上位のレベルで権限を設定し、意図しない継承を防ぐために、深く入れ子になったグループやフォルダー構造の使用を制限します。明示的な拒否を控えめに使うことで、権限の継承が途切れるのを避けてください。
• 権限管理と監査のためのツールを使用する：監査ツールを活用して、誰が何にいつアクセスできたのか、また権限がいつ変更されたのかを示すレポートを作成し、予期しない権限変更やアクセス試行に対するアラートを設定します。
• 権限戦略とプロセスを文書化して説明する: NTFS および共有の権限を ad-hoc 的に扱うと、不必要な複雑さやセキュリティ上のギャップが生じる可能性があります。最善策は、権限に関する理念と戦略を最初に定義し、それらを、権限の付与・監視・削除を頻繁かつ定期的に実施するための検証済みプロセスと組み合わせることです。

権限の問題をトラブルシューティングする

壊れた権限を診断し、修正する

権限が破損するのは、ユーザーが使用を許可されたリソースにアクセスできない場合、または誤った設定により意図しない領域へのアクセスが可能になってしまう場合に発生します。これらの問題を特定して対処するには：

• ツールまたはOSの機能を使用して、特定のリソースに対するユーザーまたはグループの有効な権限を確認します。
• 権限エントリ内に、未知または未解決の SID（Security Identifier：セキュリティ識別子）がないか確認し、あれば削除してください。孤立したアカウントを示している可能性があります。
• 所有権は他の権限を上書きできるため、リソースの所有者が正しいユーザーまたはグループになっていることを確認してください。管理者として、ファイルまたはフォルダーの所有権を取得し、権限をリセットする必要がある場合があります。
• 重要なグループについては、継承だけに頼るのではなく、必要な権限を明示的に割り当てることを検討してください。

ネストされた共有の権限競合への対処

ネストにより重複したり継承されたりする権限は、予期しないアクセス問題や競合を引き起こします。これらの問題に対処するには：

• 共有権限と NTFS 権限を組み合わせて「有効な権限」を確認し、最も制限が厳しい権限が優先されることを覚えておいてください。
• 可能であれば、ネストされた共有の使用は避けてください。ネストされた共有は、分かりにくい権限の状況を生み出す可能性があります。
• 階層間で継承される権限をマッピングして権限の階層構造を追跡し、権限の流れを理解するとともに競合を特定します。
• 階層の上位にある Allow 権限を上書きできるため、どのレベルでも Deny 権限がないか確認してください。

権限の継承を効果的に活用する

親オブジェクトから権限を継承できるようにしておくと、管理を効率化できます。しかし、継承の仕組みを必ず理解してください。親フォルダーから継承された権限が、子フォルダーに明示的に割り当てられた権限を上書きし、その結果、意図した以上に広いアクセス権が付与される可能性があります。以下のベストプラクティスが役立ちます：

• 継承された設定が組織のポリシーに合致していることを、定期的に見直してください。
• フォルダーの権限を変更したときにすべてのサブフォルダーとファイルを更新するには、「このオブジェクトから継承できるアクセス許可のエントリで、すべての子オブジェクトのアクセス許可エントリを置き換える」 オプションを使用します。
• 継承を解除する際は注意してください。予期しないアクセス問題につながる可能性があります。継承を無効化するのは、どうしても必要な場合に限り、影響を十分に理解した上で行ってください。

NTFS と共有権限：適切な戦略の選び方

ほとんどの状況では、NTFS のアクセス許可が最適な選択になります。NTFS はファイル システム自体に紐づいているためです。ユーザーが、自分がログオンしている Windows マシン上で直接リソースにアクセスする必要がある場合、ファイル共有のアクセス許可ではローカル アクセスを制限できないため、選択肢は NTFS のみになります。さらに、NTFS のアクセス許可は、共有フォルダー内のファイルやサブフォルダーに対してよりきめ細かな制御を提供し、特定のファイルやサブフォルダーに対して、さまざまなユーザーやグループごとに異なるアクセス許可を設定する必要があるときにも、より複雑な権限構造に対応できます。

Windows の共有アクセス許可のほうが適しているケースもあります。特に、FAT32 でパーティション分割されたドライブでは、NTFS のアクセス許可は選択できません。さらに、共有のアクセス許可を使うことで、共有フォルダーに同時にアクセスできるリモート ユーザー数を制限できます。共有のアクセス許可は、資源がネットワーク経由でのみアクセスされ、環境を管理する専任の管理者がいない小規模オフィスでも適している場合があります。

ただし、NTFS のアクセス許可と共有のアクセス許可を組み合わせると、最も良い結果が得られます。その際、「最も制限の強いアクセス許可が常に優先される」ことを忘れないでください。共有のアクセス許可は広めに設定し、詳細なアクセス制御には NTFS のアクセス許可を使用します。目安としては、管理者の共有アクセス許可を Full Control、ドメイン ユーザーの共有アクセス許可を Change に設定し、よりきめ細かな制御には NTFS のアクセス許可を使うとよいでしょう。

権限管理の自動化

権限を手作業で管理することは、面倒で時間のかかる作業になりがちであり、セキュリティを損なう可能性のある人的ミスにも左右されます。自動化により、セキュリティを強化し、管理にかかる負荷を減らすことができます。

ロールベースのアクセス制御（RBAC）と自動化ツール

With RBAC により、アクセス権限は個々のユーザーではなくロールに付与され、その後、各ユーザーは職務の機能に基づいて適切なロール（またはロール）に割り当てられます。新しいアプリケーションやデータベースを導入するなど、ロールのニーズが変わる場合は、そのロールに適切な新しい権限が付与され、当該ロールを持つすべてのユーザーが自動的にその権限を継承します。特定のユーザーの職務が変わった場合は、ロールの割り当てを変更するだけで、そのユーザーの権限を更新できます。

ユーザーのアクセスと権限を管理するためのネイティブなツールの1つは Active Directory (AD)です。AD は、アカウント作成を簡素化し、グループベースの権限付与を可能にするとともに、多数のサードパーティ製アプリケーションとシームレスに統合できるユーザーテンプレートを提供します。市場には、優れたサードパーティ製ツールもあります。たとえば、SolarWinds Access Rights Manager (ARM) と Lepide はユーザーのプロビジョニングを自動化するのに役立ち、Netwrix Identity Manager は、ユーザーがロールに基づいて適切なリソースへのアクセス権を持てるようにするための、アイデンティティのライフサイクル管理、アクセス認定、監査レポートを提供します

まとめ

共有権限と NTFS の権限 の違いのニュアンスを理解することは、Windows 環境で最小権限の原則を徹底するうえで欠かせません。権限の継承を活用し、ロールベースのアクセス制御を取り入れ、さらに高度な自動化ツールを利用することで、管理者としてのアクセス管理を大幅に簡素化できます。このガイドで示したベストプラクティスを採用し、適切なツールに投資することで、効果的な権限管理とより強固なサイバーセキュリティを実現できます。

よくある質問

共有権限と NTFS 権限の違いは何ですか？

共有権限と NTFS 権限は、Windows のセキュリティにおいて異なる役割を担いつつ、互いに補完し合います。

• 共有パーミッション 共有リソースへのネットワークアクセスのみを制御します。これらの権限は、ファイルやフォルダーへのローカルアクセスには影響しません。基本レベルは3つあります。Read、Change、Full Control。
• NTFS パーミッション ローカルおよびネットワークの両方へのアクセスを、6つのきめ細かな権限レベル（Read、Write、List Folder Contents、Read & Execute、Modify、Full Control）で包括的に保護します。NTFS パーミッションは、NTFS ボリューム上のすべてのファイルとフォルダーに適用され、継承と特殊なパーミッションをサポートし、ファイル暗号化を有効にします。

NTFS パーミッションと共有パーミッションでは、どちらが優先されますか？

NTFS パーミッションと共有パーミッションの両方が存在する場合、Windows は最も制限の厳しいパーミッションを強制的に適用します。たとえば、共有パーミッションが Full Control を許可していても、NTFS が Read に制限している場合、ユーザーは Read アクセスのみになります。

共有パーミッションと NTFS パーミッションを組み合わせるとどうなりますか？

共有権限と NTFS 権限を組み合わせると、常に最も制限の厳しい権限が適用されます。これは、権限が共有権限から来るのか NTFS 権限から来るのかにかかわらず、ユーザーが最も制限の厳しい権限レベルを超えられないようにすることで、追加のセキュリティ層を提供します。

NTFS 権限の目的は何ですか？

NTFS 権限の主な目的は、リソースにローカルまたはネットワーク経由でアクセスする場合でも、一貫した最小権限（least-privilege）のアクセス制御を可能にすることです。さらに：

• フォルダー階層を通じた継承をサポート
• 共有フォルダーとその内容に対してきめ細かな制御を提供
• ファイルとフォルダーの暗号化を許可する
• アクセス試行の監査を有効にする

NTFS の権限は共有の権限を上書きしますか？

既定では、NTFS の権限は共有の権限を上書きしません。ただし、ネットワーク経由でリソースにアクセスする場合、共有の権限は有効な NTFS の権限より高いレベルのアクセスを付与することはできません。両方の権限タイプが有効になっている場合は、最も制限の厳しい権限が優先されます。

共有に共有権限と NTFS の権限の両方を組み合わせるとどうなりますか？

共有リソースにおいて共有権限と NTFS 権限を組み合わせる場合、最も制限の強い権限が優先されます。共有権限はローカルアクセスには適用されませんが、ネットワークアクセスでは共有権限と NTFS 権限の両方を適用できます。たとえば、共有権限が Full Control で、NTFS 権限が Read の場合、ユーザーは Read のアクセス権のみを持ちます

共有権限と NTFS 権限に関するベストプラクティスは何ですか？

• 共有権限は広範なアクセス制御に使用し、詳細な権限管理は NTFS に任せましょう。
• 権限をシンプルに、整理された状態に保つ
• NTFS ではないパーティションに置かれているファイルを除き、共有権限だけに頼らないでください。
• 不要な管理者権限は削除してください。
• 明示的な Deny 権限は、特別な事情がある場合にのみ使用してください。
• アクセスパターンを監視して、機密データへの不審なアクセス試行を特定してください。
• 権限設定を定期的に見直し、現在の業務運用とセキュリティ要件に合致していることを確認してください。