NTFS 権限の設定
- ファイル サーバーの権限ポリシーを作成し、権限管理プロセスを明確に定義してください。
- すべての場面で Active Directory groups を使ってください。数百のグループを作成する必要があっても、個人に NTFS 権限を割り当てないでください。2,000 件の個別権限を管理するより、200 グループを管理する方がはるかに簡単です。
- 対象の資産に対して NTFS 権限を設定し、その権限にロールを割り当て、さらに人をロールに割り当てます。たとえば、共有名が HR で、 fileserver1 上にあるとします。次の手順を行ってください：
- この共有について、AD で次のドメイン ローカル グループを作成し、表示されている権限を付与します：
- fileserver1_HR_read（読み取り専用）
- fileserver1_HR_modify（読み取りと変更）
- fileserver1_HR_fullcontrol（完全な制御）
- これらのグループを使用して、適切なユーザー権限に対する NTFS 権限を設定します。
- AD で、名前が HR のグローバル グループを作成して、HR 担当者のために使用します。このグローバル グループを、ドメイン ローカル グループ fileserver1_HR_read に追加し、その後ユーザー アカウントをグローバル グループ HR に追加します。これで、資産を権限に紐づけ、さらにその権限をロール（役割）に紐づけることができました。ネットワークを拡張して、ロールに対するさまざまな資産やアクセス領域を追加していくと、そのロールがアクセスできる資産を簡単に把握できるようになります。
People（ユーザー アカウント）→ Role（AD グローバル グループ）→ Permissions（AD ドメイン ローカル グループ）→ Asset（ファイル サーバー上のファイルまたはフォルダー）
- ユーザーに Full Control 権限を付与しないでください。Full Control によりユーザーは NTFS 権限を変更できるため、一般的なユーザーにはその必要がありません。変更（Modify）権限だけで、ほとんどのユーザーは十分に業務を行えます。
- ユーザーが仕事を行うために必要な範囲で、可能な限り制限の強い権限を割り当てます。たとえば、ユーザーがフォルダー内の情報を読むだけで、ファイルの変更・削除・作成の必要がない場合は、Read 権限のみを付与してください。
- ファイル交換用に指定されたグローバル フォルダーを除き、すべてのリソースから Everyone 権限を削除してください。
- Global Deny グループを作成します。従業員が退職したときに、そのユーザーをこのグループのメンバーに追加するだけで、ファイル サーバーへのアクセス権をすべて迅速に取り消せます。
- 可能な限り、権限の継承を壊さないようにしてください。必要になるフォルダーがいくつか存在する場合もありますが、一般的には避けるべきです。もし何かをすると継承が壊れてしまうなら、いずれかを1つ上の階層へ移動する必要があります。あるいは、親フォルダー上で誰がどの権限を持っているのかを再評価する必要があります。たとえば、\Finance フォルダーのすべてに対して Read/Write 権限を誰かに付与する必要がある一方で、\Finance\Budget には付与しない、というような場合は、あとで大変なことになります。
- ユーザーには、ローカル アカウントではなくドメイン ユーザー アカウントを使ってログオンさせます。こうすることで、共有権限の管理を一元化できます。
- すべての 権限の変更は、発生の都度監査する必要があり、権限の階層構造は少なくとも年1回監査してください。
ファイル共有の設定
- すべてのユーザーが作成するデータのルート格納フォルダーとして機能する最上位フォルダーを作成します（例：C:\Data）。その中にサブフォルダーを作成し、職務の役割とセキュリティ要件に応じてデータを分離して整理してください。
- ルートレベルのフォルダーを作成できるのは IT のみであることを徹底してください。管理職や役員であっても、最上位の 1 つ目または 2 つ目の階層でフォルダーを作成させないでください。ルートレベルの階層構造をロックしないと、きれいに整えたフォルダー構造はすぐに崩されてしまいます。各部門は自分たちの希望する方法でフォルダーを整理できますが、不要な（ジャンク）フォルダーは許可しないでください。
- 同じセキュリティ要件を持つオブジェクトが同じフォルダーに配置されるように、リソースを整理してください。たとえば、ユーザーが複数のアプリケーションフォルダーに対して読み取り（Read）の権限を必要とする場合は、それらのフォルダーを同じ親フォルダーに保存します。次に、個々のアプリケーションフォルダーをそれぞれ個別に共有するのではなく、親フォルダーに読み取り（Read）の権限を付与してください。
- アクセスベース列挙（access-based enumeration）が有効になっていることを確認してください。アクセスベース列挙では、ユーザーがアクセス権を持つファイルとフォルダーだけが表示されます。ユーザーがフォルダーに対する読み取り（Read）（または同等の）権限を持っていない場合、Windows はそのフォルダーをユーザーの表示から非表示にします。
- Windows のファイル共有の権限は、かなり柔軟（寛容）に設定してください。つまり Everyone、Authenticated Users、または Domain Users に対して Full Control または Change の権限を付与し、実際の権限管理は NTFS に任せます。
- ファイル構造内にネストされた共有（nested shares）を作らないようにしてください。同じネットワーク リソースが、異なる共有経由でアクセスされると、矛盾する動作が発生する可能性があります。これは問題を招きやすく、特に共有の権限が異なる場合は注意が必要です。ネストされた共有とは、別の共有フォルダーの中に存在する共有フォルダーのことです。もちろん、既定の非表示共有（C$、D$ など）もあり、これらの下にあるすべての共有がネストされますが、これはデフォルトです。ただし、ユーザーがネストされた状態の 2 つの別個の非非表示共有を使用する場合、共有権限が競合することがあります。
- いつコピーし、いつ移動するかを把握してください。標準的なコピー／移動操作では、デフォルトの結果が適用されます。その結果によっては、設定済みの NTFS 権限が維持されることもあれば、壊れてしまうこともあります。コピー操作では宛先コンテナーの権限が作成され、移動操作では親コンテナーの権限が維持されます。混乱しないようにするには、CC/MM — Copies Create, Moves Maintain。
トップ5のNTFS権限ツール
- 効果的な権限レポートツール ネットリックスから
- NTFS パーミッションレポーター Cjwdevから
- アクセス列挙型 (Microsoftユーティリティ)
- 権限レポーター キーメトリックソフトウェアから
- 権限アナライザー SolarWindsから
PowerShellを使用したNTFS権限のエクスポート
NTFS 権限とは
NTFS（New Technology File System）は、Windows NT およびそれ以降のすべての Windows オペレーティング システムで用いられる標準のファイル システムです。NTFS を使用すると、共有フォルダーを使ってネットワーク ユーザーにファイル リソースへのアクセスを提供し、それによってドライブとフォルダーの権限を管理できます。NTFS の権限は、このファイル システムでフォーマットされたすべてのドライブで利用できます。各ユーザーは、ネットワークとドライブ全体または個別のフォルダーを共有するかどうかを選択できます。
NTFS 権限の主な利点は、ローカル ユーザーだけでなくネットワーク ユーザーにも適用されること、またユーザーがどこから接続しているかに関係なく、Windows のログオン時に各ユーザーに付与された権限に基づいていることです。管理者はシステム セキュリティの一環として、NTFS ユーティリティを使用して、ネットワーク上のファイルやフォルダー、コンテナー、オブジェクトへのアクセスを制御できます。
共有する