ファイルサーバーのアクセス権の棚卸しは、着手して途中で止まる作業の代表格です。フォルダ数が膨大で、どこまで見れば終わりなのか分からないまま失速します。この記事では、全部を見直すのを最初から諦め、影響の大きい箇所だけを確実に終わらせる手順を扱います。
先に決めること：全部はやりません
フォルダは階層が深く、数千・数万に達します。すべてを確認する計画は必ず未完で終わります。
代わりに、次の条件に当たるフォルダだけを対象にします。
- 個人情報・顧客情報が入っているフォルダ
- 「全員」または「Everyone」に権限が付いているフォルダ
- 人事・給与・経理のフォルダ
- 過去の担当者が作り、今は誰も管理していないフォルダ
この4条件で、実質的なリスクの大半が入ります。残りは次回以降に回して構いません。終わらせることの方が重要です。
手順1：共有フォルダの一覧を取る
まず、そのサーバーで何が共有されているかを確定させます。サーバー上でPowerShellを開き、次を実行します。
Get-SmbShare共有名とパスの一覧が出ます。ここに、把握していなかった共有が出てくることがあります。過去の作業で作られ、そのまま残っているものです。
使われていない共有は、権限を見直すより共有そのものを解除する方が確実です。
手順2：権限を確認する
対象フォルダの権限を確認します。
Get-Acl "D:\share\顧客データ" | Format-Listより読みやすい形で見る場合は次を使います。
(Get-Acl "D:\share\顧客データ").Access | Select-Object IdentityReference,FileSystemRights,AccessControlType画面から確認する場合は、フォルダを右クリック →「プロパティ」→「セキュリティ」タブです。
ここで探すもの
| 見つかるもの | 意味 |
|---|---|
| Everyone | 認証された全員がアクセスできる。最優先で外す対象 |
| Domain Users | 社内の全員。実質「全社公開」と同じ |
| 個人名のアカウント | 在籍状況を要確認。退職者が残っていることがある |
| 読めない識別子（S-1-5-…） | 削除済みアカウントの残骸。そのまま消してよい |
| フルコントロール | 権限の削除まで可能。付与範囲を絞る対象 |
個人情報が入っているフォルダに「Everyone」または「Domain Users」が付いていたら、そこが最優先の対象です。他をすべて後回しにしてよい水準の問題です。
手順3：実際に誰がアクセスできるかを確認する
権限の一覧を見ただけでは、実際にアクセスできる人数は分かりません。グループ経由で入っている人がいるためです。
グループの中身を確認します。
Get-ADGroupMember -Identity "営業部" -Recursive-Recursive を付けるのが要点です。グループの中に別のグループが入っている（入れ子）場合、これがないと実際の人数が出ません。
入れ子は、想定より広い範囲に権限が及ぶ主要な原因です。「営業部」の中に「全社員」グループが入っていて、結果的に全員がアクセスできる、という状態が起こります。
手順4：縮小する
いきなり削除すると業務が止まります。次の順で進めるのが安全です。
- 現状を記録する：変更前の権限を保存します。戻せる状態を作るのが先です
- 読み取り専用に落とす：削除ではなく、まず書き込み権限を外します
- 1〜2週間様子を見る：業務への影響を確認します
- アクセスがなければ権限を外す：この段階で削除します
現状の記録は次で取れます。
Get-Acl "D:\share\顧客データ" | Export-Clixml C:\backup\acl_before.xml「誰も使っていないはず」という判断は、しばしば外れます。段階を踏んだ方が、結果的に早く終わります。
手順5：記録を残す
次回の棚卸しを差分だけで済ませるために、実施の記録を残します。
- 実施日
- 対象フォルダ
- Everyone / Domain Users を外した数
- 退職者アカウントを削除した数
- 次回に回した範囲
「次回に回した範囲」を書くのが重要です。これがないと、次回また全体から始めることになります。
記録の考え方は アカウント管理台帳の作り方、Pマークの審査で求められる形は Pマークのアクセス制御で扱っています。
権限を絞っても防げないこと
アクセス権の縮小は有効ですが、正規の利用者のID・パスワードが盗まれた場合には効きません。権限を持つ本人としてログインされるため、正当なアクセスとして通ります。
そのため棚卸しと認証の強化は、代替関係ではなく併走するものです。「権限を絞ったので認証は現状のままでよい」という整理は成り立ちません。
多要素認証の基本、 WindowsのOSログインに二要素認証を入れる方法を参照してください。
よくある質問
フォルダが多すぎて終わりません
全部を対象にしないでください。個人情報が入っているフォルダ、Everyone や Domain Users が付いているフォルダ、人事・経理のフォルダ、管理者が不在のフォルダの4条件に絞ると終わります。
権限を外して業務が止まるのが怖いです
削除の前に読み取り専用へ落とし、1〜2週間様子を見てください。変更前の権限をエクスポートしておけば元に戻せます。
読めない識別子が権限に並んでいます
削除済みアカウントの残骸です。そのまま削除して問題ありません。数が多い場合、過去にアカウント削除が権限の見直しを伴わずに行われていた形跡です。
まずは自社の状況を確認する
applippliの無料診断では、約3分の質問に回答するだけで、アクセス権とID・パスワードの管理状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。