ファイルサーバーのアクセス権の棚卸しは、途中で止まりやすい作業の代表格です。フォルダが多く、どこまで見れば終わりか分からないまま失速します。
この記事では全部を見直すのをやめ、影響の大きい箇所だけを確実に終わらせる手順を扱います。
先に決めること：全部はやりません
フォルダは数千・数万に達するため、すべてを確認する計画は未完で終わります。対象は次の4条件に絞ります。
- 個人情報・顧客情報が入っているフォルダ
- 「全員」または「Everyone」に権限が付いているフォルダ
- 人事・給与・経理のフォルダ
- 過去の担当者が作り、今は誰も管理していないフォルダ
4条件で十分
手順1：共有フォルダの一覧を取る
まず、そのサーバーで何が共有されているかを確定させます。PowerShellで次を実行します。
Get-SmbShare共有名とパスの一覧が出ます。過去の作業で作られ、把握していなかった共有が出てくることがあります。使われていない共有は、権限を見直すより共有ごと解除する方が確実です。
手順2：権限を確認する
絞り込んだフォルダについて、誰に何の権限があるかを見ます。
Get-Acl "D:\share\顧客データ" | Format-List読みやすい形で見る場合：
(Get-Acl "D:\share\顧客データ").Access | Select-Object IdentityReference,FileSystemRights,AccessControlType画面からは、フォルダを右クリック →「プロパティ」→「セキュリティ」タブで確認できます。
ここで探すもの
| 見つかるもの | 意味 |
|---|---|
| Everyone | 認証された全員がアクセスできる。最優先で外す対象 |
| Domain Users | 社内の全員。実質「全社公開」と同じ |
| 個人名のアカウント | 在籍状況を要確認。退職者が残っていることがある |
| 読めない識別子（S-1-5-…） | 削除済みアカウントの残骸。そのまま消してよい |
| フルコントロール | 権限の削除まで可能。付与範囲を絞る対象 |
最優先の対象
手順3：実際に誰がアクセスできるかを確認する
権限の一覧だけでは、実際にアクセスできる人数は分かりません。グループ経由で入っている人がいるためです。グループの中身を確認します。
Get-ADGroupMember -Identity "営業部" -Recursive要点は -Recursive です。グループの中に別のグループが入っている（入れ子）と、これがないと実際の人数が出ません。
入れ子は、権限が想定より広がる主な原因です。「営業部」の中に「全社員」が入っていて、結果的に全員がアクセスできる、という状態が起こります。
手順4：縮小する
いきなり削除すると業務が止まります。次の順で段階を踏みます。
業務を止めずに権限を絞る順番
- 1
現状を記録する
戻せる状態を先に作る
- 2
読み取り専用に落とす
まず書き込み権限を外す
- 3
1〜2週間様子を見る
業務への影響を確認
- 4
権限を外す
アクセスがなければ削除
現状の記録は次で取れます。
Get-Acl "D:\share\顧客データ" | Export-Clixml C:\backup\acl_before.xml「誰も使っていないはず」はよく外れます。段階を踏んだ方が、結果的に早く終わります。
手順5：記録を残す
次回の棚卸しを差分だけで済ませるために、次を残します。
- 実施日
- 対象フォルダ
- Everyone / Domain Users を外した数
- 退職者アカウントを削除した数
- 次回に回した範囲
特に「次回に回した範囲」が大事です。これがないと、次回また全体から始めることになります。
記録を残す手間は、PC・サーバー側の情報を自動で集めると減らせます。アプリップリキーなら、ファイルサーバーを含む全PC・サーバーのログイン記録を1画面で見られ、誰がいつどのサーバーに入ったかをCSVで出せます。棚卸しの記録に添えれば、監査や取引先に聞かれたときにそのまま見せられます。さらに、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにできます（PC版・サーバー版）。
記録の考え方は アカウント管理台帳の作り方、Pマークの審査で求められる形は Pマークのアクセス制御で扱っています。
権限を絞っても止まらないこと
権限の棚卸しには、効かない場面が1つあります。
正規の利用者のID・パスワードが盗まれた場合です。権限を持つ本人としてログインされるため、正当なアクセスとして通ります。
棚卸しと認証の強化は、どちらか一方ではなく両方で進めるものです。「権限を絞ったので認証はそのままでよい」とは言えません。
多要素認証の基本、 WindowsのOSログインに二要素認証を入れる方法を参照してください。
普段の管理が楽になると何が変わるか
フォルダの権限そのものは、この記事の手順で見直すしかありません。ただ、その前後の「誰がいつファイルサーバーに入ったか」「辞めた人のログインが残っていないか」は、全PC・サーバーのログイン記録が1か所にあれば、サーバーに入ってログを探さなくても画面で絞り込めます。
退職や異動のときも、席まで行かずにその人のスマホの登録を外し、ローカルアカウントを止められます（ドメインのアカウントは、これまでどおりADで無効化します）。次回の棚卸しでは、前回からのログイン記録をCSVで出して差分を見るだけで済みます。
よくある質問
フォルダが多すぎて終わりません
全部を対象にしないでください。個人情報が入っているフォルダ、Everyone や Domain Users が付いているフォルダ、人事・経理のフォルダ、管理者が不在のフォルダの4条件に絞ると終わります。
権限を外して業務が止まるのが怖いです
削除の前に読み取り専用へ落とし、1〜2週間様子を見てください。変更前の権限をエクスポートしておけば元に戻せます。
読めない識別子が権限に並んでいます
削除済みアカウントの残骸です。そのまま削除して問題ありません。数が多い場合、過去にアカウント削除が権限の見直しを伴わずに行われていた形跡です。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、アクセス権とID・パスワードの管理状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。