フォルダアクセス権変更方法について

質問

Active Directory環境でフォルダのアクセス権を設定しております。
複数のフォルダを用意し、階層ごとにアクセス権を付与しております。
フォルダによっては、親からの継承を外していたりもします。

上記のような環境の中で、ある特定のアクセス権を
特定のフォルダ配下のすべてのフォルダ・ファイルに適用したいと考えておりますが、
通常の方法ですと、フォルダの[セキュリティ]タブから詳細設定を開き、
「子オブジェクトのアクセス許可すべてを、このオブジェクトからの継承可能な
アクセス許可で置き換える」にチェックを入れ、適用を行うと思います。

しかし、こちらの方法ですと、親フォルダとまったく同じ状態が、
引き継がれてしまい、今までのアクセス権がなくなってしまい、
運用上問題が発生してしまいます。

そのため、特定のフォルダ配下すべてに対して、
現状のアクセス権は維持したまま、あるアクセス権を追加する方法が
ないかご教授頂けないでしょうか。

環境としては、Windows Server 2003 R2となります。

よろしくお願いします。

回答No.2

maesen · ベストアンサー

解釈が間違っていたら申し訳ないのですが、

＞上記のような環境の中で、ある特定のアクセス権を特定のフォルダ配下のすべてのフォルダ・ファイルに適用したいと考えておりますが、

特定のアクセス権のみを下位のフォルダに継承することはできません。
継承はその親フォルダの全てのアクセス権を継承します。

単純に現在のアクセス権を残しつつ、親フォルダのアクセス権を継承もしたいのであれば方法が間違っています。
下位のフォルダ側で「このオブジェクトの親からの継承可能なアクセス許可を含める」をオンにします。
これを実行するのは現実的ではないので、配下のフォルダ全てに実施するのならば以下のようにコマンドで実行することが出来ます。

icacls * /t /inheritance:e

＞そのため、特定のフォルダ配下すべてに対して、現状のアクセス権は維持したまま、あるアクセス権を追加する方法がないかご教授頂けないでしょうか。

単純にこの設定を行うのならば、すべてのフォルダおよびファイルに追加したいアクセス権を設定する必要があります。
GUIで実行するのは現実的ではないのでコマンドで実行すると良いでしょう。
icacls の使い方はヘルプで調べて見て下さい。

icacls 特定のフォルダ /t /grant user1:(CI)(OI)(F)

下位フォルダ側で特定のフォルダのみ継承を外したり、特定のフォルダだけアクセス許可を追加すると上位のフォルダでアクセス権をコントロール出来なくなるので、
その辺の設計をしっかりしないと管理が複雑になってしまいますので注意したほうが良いでしょう。

なお、Windows Server 2003のicacls.exe にはバグがありますので修正プログラムを入手する必要があります
また、Windows Server 2003 R2はSP2である必要があります。

http://support.microsoft.com/kb/947870

お礼

詳しくありがとうございます。
こちらを利用して実験してみたいと思います。
icacls 特定のフォルダ /t /grant user1:(CI)(OI)(F)

回答ありがとうございます。

回答No.1

matyu1003

ICACLS というコマンドがあるので、検索してみて下さい（オプションがたくさんありますので）。
例：
ICACLS c:\test /grant <username>:(GR,GW) /t
で、c:\testフォルダ以下にあるすべてのファイルに対して、username に読み取り・書き込み権限が付加されます。

ICACLSは、アクセス権のバックアップ・復元もできるので、バックアップを取ってからやってくださいね。

お礼

実現できそうな気がします。
調べてみてコマンドを試してみたいと思います。
回答ありがとうございます。