caclsの /c スイッチの意味

質問

こんにちは。
OSはWindows2000 Professional、ファイルシステムは
NTFSです。
Power Userである「user1」のプロファイルフォルダ
(C:\Documents and Settings\user1)のアクセス権
(Administrator,SYSTEM,user1にフルコントロール)に
同じくPower Userである「user2」にフルコントロール
のアクセス権を追加しようとしました。
user2のデスクトップで、コマンドプロンプトから、
c:\>cacls "C:\Documents and Settings\user1"
/t /e /c /g user2:f
としたところ、
「ACCESS_DENIED: C:\Documents and Settings\user1
ファイル名、ディレクトリ名、またはボリューム ラベルの構文が間違っています。」というエラーがでました。
逆に、user1のデスクトップで、コマンドプロンプトから、
c:\>cacls "C:\Documents and Settings\user1"
/t /e /c /g user2:f
は正常に追加されました。
この結果から、caclsの実行時にアクセス拒否が起こって
いるように思えます。だとすると、/c スイッチは何の
ためにあるのでしょう？また、user1 にログオンしながら
他ユーザーのアクセス権を変更することは可能でしょうか？
よろしくお願いいたします。

回答No.1

shiro-hase · ベストアンサー

こん＊＊は。

user1にフルコン、user2にフルコン以下の状態で、
user2から、アクセス許可を変更できるかということですが、無理であると思います。

たとえば、私があなたのネットワークの１ユーザーで、読み取り許可しかもっていなかったとします。
私が、caclsコマンドで/cを使い、自分自身にフルコン許可を与える（/cで拒否を無効にする）ことは、ネットワーク管理上、非常に危険なことではないでしょうか？
だから、質問の状況でuser2のアカウントからは、アクセス許可の変更ができなかったと考えられます。

では、なぜ、/cコマンドが存在するかというと、
たとえば、私が本来持っていてはいけない機密ファイルを持っていて、自分以外の全員にアクセス拒否設定をしていた場合、普通なら、管理者でも、アクセス許可の重ねあわせで、アクセス拒否となります。

しかし、管理者としては、私が機密ファイルを持つことを許すわけには行きません。そういったときに、管理者特権として、/cを使ってアクセス拒否を無視し、
ファイルを削除する。

そういった感じで使うものだと思います。

参考になれば幸いです。

お礼

shiro-haseさん、こんにちは。
言われることはもっともです。
便利さだけにだけとらわれ、セキュリティ
のことをおろそかに考えがちでした。
とても参考になりました。
どうもありがとうございました。