win2000srv 共有アクセス権

質問

お世話になります。
win2000serverでフォルダを作成し、そのフォルダを共有したいと思いますが設定で不明なところがあるのでご教授下さい。
「NTFSアクセス権」設定で、「セキュリティ」タブを開くと最初は「Everyone」があり、「継承可能なアクセス許可を親からこのオブジェクトに継承できるようにする」にレ点が入っております。

(1)この「継承可能な・・・」というのはどういう意味なのでしょうか？

(2)また「Everyone」は削除してアクセスさせたいユーザを追加すれば良いのでしょうか？

(3) (2)の設定をしましたら、追加したユーザからはフォルダを開く事ができましたが、肝心のサーバからはフォルダにアクセスできませんでした。
サーバもアクセスできるようにするにはどうしたら良いのでしょうか？

回答No.3

twowelk · ベストアンサー

No.1です。
それではさらに捕捉します。

>administratorを追加した場合、サーバだけしか閲覧は
>できないのでしょうか？

Administratorはそのサーバに対してだけのAdministrator（Administrators）なので大丈夫（つまりサーバからしか閲覧できない）かと思います。

>administratorでログオンしているユーザがサーバにアクセスした場合

この場合、DomainAdminというグループになるので
アクセスは出来ないかと思います。

ちょっとわかりずらいですかね？
つまり
Administrators＝サーバへ対してのAdmin権限所有
DomainAdmin＝ドメインに対してのAdmin権限所有
う・・・間違ってるかも・・・。

かなり自信なしなんで、
出来れば検証してみた方がいいですね。

あと、Windowsのドメインであれば
参考となるサイトもあるかと思うんで
色々探してみてください。

お礼

何から何までありがとうございました。
非常に勉強になりました。

またWEB上で色々探して勉強します。

ありがとうございました！

回答No.4

catby

> administratorを追加した場合、サーバだけしか閲覧はできないのでしょうか？
サーバーの定義によって変わってくると思います。
もしもサーバーがドメインマスタを行っている場合、ドメインに参加している別のマシンからAdministratorにてログオンを行うと、そのマシンからもアクセス制限をかけているフォルダへのアクセスを許してしまいます。
また、ドメインマスタでなかった場合でも、別PCのadministratorアカウントのパスワードがサーバーのパスワードと同じだった場合もアクセスを許してしまいます。

ネットワークからのアクセスに制限をかけたいのであれば、[共有]タブ内にある[アクセス許可]にて行う方法があります。
共有アクセス許可にAdministratorを追加し、フルコントロール拒否の設定を行えば、サーバーにログオンした時は正常にアクセスができ、ネットワーク経由にてアクセスした場合には拒否できます。
ただし、[アクセス許可]設定は、共有フォルダ単位での設定となりますので、たくさん共有フォルダが作成されているのであれば、全てに設定を行わなくてはいけません。

サーバー全体に対して、外部からのAdministratorでのアクセスを制限する方法もあります。
コントロールパネルから[管理ツール]→[ローカル セキュリティ ポリシー]
の
"ローカル ポリシー"→"ユーザー権利の割当"→"ネットワーク経由でコンピュータへアクセスを拒否する"
の項目にAdministratorを追加すると、ネットワーク経由でAdministrator権限でのアクセスはできなくなります。

セキュリティレベルを上げる事が目的でしたら、後者をお勧めしますが、用途に合わせて使い分けてみてください。

お礼

レスありがとうございます！

なるほど、目的によって設定方法が変りますね。
色々検証してみます。

＞ただし、[アクセス許可]設定は、共有フォルダ単位で
＞の設定となりますので、たくさん共有フォルダが作成
＞されているのであれば、全てに設定を行わなくてはいけません。
ファイルサーバの場合、共有フォルダすべてにアクセス設定をしなければならないのではないのですか？
（もちろんアクセス制限が必要な共有フォルダは）
一括設定みたいな事も行えるのでしょうか？

2000server奥深いです。。（困）

回答No.2

twowelk

No.1です。

いえ、仰りたいことは分かるのですが
私の手元にサーバが無いのでハッキリ回答できず・・・

で、（3）ですが
そういううことであれば、
ユーザならば、Administrator
グループならば、Aministrators
ですね。
ついでに使用権限はフルコントロールで。

ファイルの管理上、使用者を限定するにしても
こちらは追加しておいた方が良いでしょう。

もし、既に外れてしまっていて、Administratorで
操作できないようであれば、その使用権限のあるユーザで
操作するしかないですね。

お礼

ありがとうございます。ここまで教えていただければ充分です！

すみません、もしよろしければ補足で教えてもらえないでしょうか。

administratorを追加した場合、サーバだけしか閲覧はできないのでしょうか？

administratorでログオンしているユーザがサーバにアクセスした場合、フォルダが閲覧されてしまうのかなと思いまして。セキュリティ上の話です。
（テスト環境がないのにこんな事言ってすみません）

ちなみにADを構築していますが、guestユーザのアクセスを許可しております。

回答No.1

twowelk

(1)
親フォルダからのアクセス権を引き継ぐ、という意味です。
つまり、親フォルダに「everyone フルコントロール」の
権限がついていたら、子のフォルダにもそれが適用されます。
新規にフォルダを作成した場合は自動でそうなるかと思います。

(2)
そのeveryoneを親から引き継いでいる場合は、上に書いた通り
チェックを外す必要がありますね。

(3)
サーバの、というよりそのサーバにどんなアカウントで
通常ログインしているか、ですね。
そのアカウント、あるいはグループを追加すればいいかと思います。

ちょっと記憶があやふやでもしかすると
間違ってるかもしれないです。
すみません。

お礼

さっそくの回答ありがとうございます。

（３）ですが、サーバはadministratorでログオンしております。
その場合、どのアカウントを追加すればよいのでしょうか?

すみません、私も質問をまとめられていないですので意味不明であればごみレスで結構です。