LAN上の特定のPCに対するアクセス制御

質問

ネット情報やサポート情報もいろいろ調べ、似たような質問も多いのですが、どうしてもわからず質問します。お願いします。

XPproのサーバPC（Aとします）にXPhomeのクライアントPCが２台（B,Cとします）LAN接続されています。同一ワークグループ上です。今までは簡易共有でサーバ上の共有フォルダをクライアントみんなで共有していましたが、今後、そのフォルダをBにはアクセス可能、Cにはアクセス拒否という設定にしたいです。

簡易共有を外してフォルダのプロパティ、共有、セキュリティでアクセス権設定したいのですが、ユーザとしてデフォルト設定されているのはeveryoneですよね。これを削除してLAN上のBやCのPCを選択したいのですが、出てきません。検索してもローカルPC上のユーザしか出てきません。どうやればLAN上のPCを選択してアクセス件設定できるようになるのでしょうか。

ちなみに、各PC（A,B,C)には、管理者権限の１ユーザ（ログインパスワードあり）のみを登録しています。（もしやサーバPCには各クライアントPC分のローカルユーザを登録しなければならないのでしょうか？その場合、各クライアントPCのログインユーザ名、パスワードで、サーバPCにローカルユーザ登録をするのでしょうか？）どなたかお知恵をお貸し下さい。

回答No.4

tenkawa99 · ベストアンサー

>LAN上のBやCのPCを選択したいのですが、出てきません
正しい結果です。ワークグループの場合ローカルのユーザしか読み込んでくることは出来ません。

>もしやサーバPCには各クライアントPC分のローカルユーザを登録しなければならないのでしょうか？その場合、各クライアントPCのログインユーザ名、パスワードで、サーバPCにローカルユーザ登録をするのでしょうか？
まさしくその通りです。
ファイルを共有したいだけなら、このとき作成するB、C用のユーザに管理者権限は与えてはいけません。管理が難しくなります。
なお、B、CのＰＣにて使用するユーザ名やパスワードを変更した場合はＡにも同様の事をしなくてはいけませんので注意です。
ユーザアカウントでの管理になりますのでパスワードの管理はきちんとしましょう。

>fallen_angelさん
>サーバー機ＡにＯＳのＣＤから、ＡｃｔｉｖｅＤｉｒｅｃｔｒｙをインストールして、ドメインを構築する必要があります。
サーバ機といってもOSがXPPro（クライアントOS）ですからADのインストールは不可能ですね。

お礼

ご回答ありがとうございます。やはりサーバＰＣ（Ａ）にクライアント全てのユーザ登録をするのですね。わかりました。とても参考になりました。専門家の方とのことで、重ねて確認させて頂きたいのですが、サーバ機Ａに複数のユーザアカウント設定（Ａ，Ｂ，Ｃ）をし、サーバ機Ａ（のパソコン）自体でのログインをＡユーザで行っても、クライアント機Ｂ，Ｃからサーバ機の共有ファイルへのアクセスが（設定された制御権の状態で）できるということですよね？

『ファイルを共有したいだけなら、このとき作成するB、C用のユーザに管理者権限は与えてはいけません。管理が難しくなります。』

サーバ機でのユーザＢ，Ｃのアカウント登録を管理者権限で行っても、共有ファイルの共有設定自体にＢ，Ｃのアクセス権を制限設定すれば特に問題ないように思えるのですが、どうでしょうか？とにかくわからないことだらけで。。。すみません。

回答No.5

tenkawa99

>サーバ機Ａ（のパソコン）自体でのログインをＡユーザで行っても、クライアント機Ｂ，Ｃからサーバ機の共有ファイルへのアクセスが（設定された制御権の状態で）できるということですよね？

そのとおりです。

>共有ファイルの共有設定自体にＢ，Ｃのアクセス権を制限設定すれば特に問題ない・・・

制限されたユーザはusersというグループに所属しています。管理者ユーザはAdministratorsというグループに所属しています。
たとえばAを管理者として作成するとadministratorsグループ(管理者用グループ)に所属することになります。

たとえば共有フォルダにAユーザのアクセス権限にて読み取りと設定したとしましょう。
通常のフォルダ・ファイルでは管理者(Administrators)は規定でフルコントロールを与えられていますので、
AにはAユーザ専用のアクセス権とAdministratorsグループに対してのアクセス権を取得します。
この時、Aはより権限が高いほうのアクセス権(Administratorsの権限)であるフルコントロール権限を得ます。
※フォルダのAdministratorsの権限を削除することは管理上好ましくありません。

また、管理者権限があるとアクセス権を変更出来てしまいます。管理者なのですから最高の権限を持っているのです。

ユーザ毎にアクセス権を設定したい場合
１共有フォルダを作成して共有（例：Aフォルダ
２共有タブのアクセス許可でeveryoneフルコントロールに設定
３セキュリティタブでusers、everyone、アクセスさせたくないユーザがあった場合削除
４アクセスさせたいユーザを追加し、権限を設定する。
※親からアクセス許可を継承・・・と出た場合は詳細設定で子オブジェクトに適用・・・のチェックをはずし、コピーを選択しましょう。

おまけ
セキュリティータブで設定したアクセス権はローカルでも有効です。自分のPCにファイルがあってもアクセスが出来なくなります。
共有タブでのアクセス権はネットワークからアクセスした時にだけ適用されますので、自分のPCにファイルがあった場合アクセス権に関係なくにアクセスできます。

アクセス権は結構こんがらがりやすいのでがんばってください。

お礼

素晴らしく丁寧で解りやすいご説明、本当にありがとうございました。本当に助かりました。少なくとも頭ではすっきり理解した・・・つもりです。今週末、実際の設定作業をやる予定です。また、わからないことが出てきたら新しい質問をするかもしれませんので、そのときはよろしくお願い致します。ありがとうございました！

回答No.3

wingtodo

サーバＰＣ（Ａ）にクライアントＰＣ２台のログインユーザー名を登録して、サーバＰＣ（Ａ）の各共有フォルダのセキュリティで制御してやれば良かったような。
違ってたらごめんなさい。

お礼

ご回答ありがとうございます。やはりサーバＰＣ（Ａ）にクライアント全てのユーザ登録をする必要があるんですね。大変参考になりました。ありがとうございました。

回答No.2

fallen_angel

サーバー機ＡにＯＳのＣＤから、ＡｃｔｉｖｅＤｉｒｅｃｔｒｙをインストールして、ドメインを構築する必要があります。
　ＡｃｔｉｖｅＤｉｒｅｃｔｒｙによる管理は、クライアントの台数が増えていくと楽ですよ。
　ただし、ＯＳはWindows2000ServerかWindows2003ServerかSmollBisinessServerである事が条件です。

　もしもＡ機のＯＳがServerＯＳで無い場合は、バッファロー社製のＬＡＮ直結型ＨＤＤでなら管理できたと記憶しています。

　新規にＨＤＤやＯＳ購入が無理な場合は、難しいですね。
　共有ＤＩＳＫがパスワード付に設定できるなら、アクセスを許可するＰＣのユーザにのみパスワード公開ですかね。

お礼

再度のご教示ありがとうございます。
ＯＳはＷｉｎＸＰｐｒｏなので、No.4さんの方法で解決できそうです。ありがとうございました。

回答No.1

fallen_angel

『管理者権限の１ユーザ（ログインパスワードあり）のみを登録しています。』が、ポイントですね。
Ｂ，Ｃそれぞれ別のアカウントを設定します。
これはローカルユーザではなく、Ａのドメインのユーザアカウントを与えます。
ＰＣではなくアカウントでの制御になりますが、これで出来ると思います。

Ｂ，ＣのAdmnistratorのパスワードは変えて、ユーザがAdmnistratorでのログインをできなくしましょう。
一般にＢ，ＣにはPowerUser以下の権限を与えるようです。

お礼

早速ご回答ありがとうございます。しかし、、、頭悪いのか、まだわかりません(^^ゞすみません。。
『Ｂ，Ｃそれぞれ別のアカウントを設定します。
これはローカルユーザではなく、Ａのドメインのユーザアカウントを与えます。』の部分ですが、現実の作業としては、Ｂ，Ｃのパソコンに管理者権限ではないもう１つのユーザアカウントを追加するということでしょうか。種類としては「管理者」か「制限」の２種類しかないので制限で追加作成するのでしょうか。
また、ドメインでなくワークグループで運用していますが、それでも『Ａのドメインのユーザアカウントを与え』ることはできますか？よろしければさらにご教示を。。。