第2回　アクセス制御リストACL：Windows OS入門（2/2 ページ）

Windows OSにおけるACL

　以下ではNTFSファイルシステムにおけるACLを例に、ACLで設定できる機能について見ていこう。ファイルやフォルダーのACLの状態は、プロパティ画面を表示させ、［セキュリティ］タブを選択すると表示される。

ACLの簡易表示画面
これはWindows 8.1の画面例。エクスプローラーでファイルやフォルダーのプロパティ画面を開くと、ACLを確認できる。
　 （1）まず［セキュリティ］タブを開く。
　 （2）ACEが1行ずつ表示されている。この例では4つのACEエントリが定義されている（ように見える）。継承属性の違いなどにより、実際には複数のエントリに分かれていることがある（「継承」については後で詳しく説明する）。許可と拒否は異なるACEなので、同じユーザーで許可と拒否の両方を定義すると、実際には2つ以上のACEに分かれる。
　 （3）許可もしくは拒否の定義。チェックマークが薄いグレーになっているのは、上位フォルダーから継承した属性を表している。濃い黒のチェックマークの場合は、継承ではなく、このプロパティ画面で設定されている属性。
　 （4）「フルコントロール」や「変更」などの代表的なアクセス権以外は、全てこの「特殊なアクセス権」として表示される。
　 （5）これをクリックすると、ACLの簡易編集画面が表示される。
　 （6）これをクリックすると、ACLの詳細編集画面が表示される。継承などの属性を編集するには、こちらを使う。

　ただしこの画面ではACLの全ての情報が表示されているわけではなく、かなり簡略化されている（後述する「ACLの継承」などの情報が省略されている）。また、許可と拒否のACEが1つにまとめて表示されているので、ACEの適用順序が分かりづらくなっている。ACLの設定状態をより詳しく確認するには、上の画面にある［詳細設定］ボタンをクリックする。すると次のような画面が表示される（これはWindows 8.1の画面例）。OSのバージョンによってボタンの文字列などが少し異なるが、内容はほぼ同じである。

ACLの詳細表示画面
このACL中には、全部で5つのACEが含まれていることが分かる。
　 （1）ACLが割り当てられているオブジェクト名（この場合はNTFSのフォルダー名）。
　 （2）オブジェクトの所有者情報。
　 （3）ACLを表示／確認するには［アクセス許可］タブを選択する。
　 （4）ACEの種類。「拒否」と「許可」がある。ACEの適用順序は「拒否」→「許可」の順なので、「拒否」のACEが先に列挙され、「許可」のACEは下の方に表示されるようになっている。
　 （5）ユーザー名もしくはグループ名。
　 （6）権限。
　 （7）ACEをどこから継承しているかという情報。新しいファイルやフォルダーを作成するたびにACLを新しく作成して割り当てるのではなく、上位のフォルダーで定義されているACLを継承して利用するのが一般的。
　 （8）このACEをどこまで継承するかという指定。
　 （9）新たにACEを追加したり、選択したACEを削除／編集したりしたい場合はこれらのボタンをクリックする。
　 （10）上位から継承しているACLをキャンセルして、このオブジェクト（この場合はフォルダー）に対して新しくACLを割り当てたい場合はこれをクリックする。Windows 7／Windows Server 2008 R2以前のWindows OSでは、この項目はボタンではなく、［このオブジェクトの親からの継承可能なアクセス許可を含める］や［子オブジェクトに適用するアクセス許可エントリを親から継承し、さらにここで明示的に定義されているものに含める］というラベルの付いたチェックボックスになっている。
　 （11）このチェックボックスをオンにすると、このフォルダーとその中に含まれる全てのオブジェクトに対して、ここで定義されているACLと同じになるように、ACLがリセットされる。

　ACLがどのようなものか、（ACLを構成する）ACEにはどのような情報が含まれるのか、などはこの画面を見ると理解しやすいだろう。

　上記画面で［追加］ボタンか［編集］ボタンをクリックすると、ACEのエントリを追加／編集できる。ACEごとに次のような情報を設定できる。

ACEの編集／定義
この画面には、個々のACEに設定可能な項目が一覧表示されている。
　 （1）ユーザー名もしくはグループ名を指定、選択する。
　 （2）アクセス許可ACEか、アクセス拒否ACEかを選択する。
　 （3）これはフォルダーの場合にのみ設定できる項目。継承先を選択する。詳細は後述。
　 （4）設定可能な権限の一覧。これは全権限を表示させたところ。
　 （5）これをクリックすると簡易表示になり、「フルコントロール」や「変更」「読み取りと実行」といった分かりやすい名前で設定できるようになる。ただしこれは表示方法が変わるだけであり、最終的にはこの画面に表示されているいずれかの権限を設定することになる。
　 （6）これもフォルダーの場合にのみ設定できる項目。これをオンにするとACLの継承が制限され、このフォルダーの中にあるファイルかサブフォルダーまでしかACLが継承されなくなる（サブフォルダー内のファイルやサブフォルダーには継承されない）。

　Windows 7／Windows Server 2008 R2以前のWindows OSでは、この画面は次のように表示されるが、内容は同じである。

ACEの編集／定義画面（旧形式）
Windows 7／Windows Server 2008 R2以前のWindows OSでは、このように許可と拒否が1つの画面中で同時に設定できるようになっているが、内容は同じである。ただし、Windows 8以降にある簡易表示はできず、常に全権利が表示されている。
　 （1）許可と拒否の両方を同時に確認しながら設定できる。許可と拒否の両方のチェックボックスをオンにすると、許可ACEと拒否ACEの2つのACEエントリが作成される。

　これらの画面で設定できる項目の意味は次の通りである（Windows 8での表記で記述）。

プリンシパル

　「プリンシパル（principle）」とは、このACEの対象となるユーザーやグループアカウントを表す。［プリンシパルの選択］のリンクをクリックすると、ユーザーやグループを変更できる。

種類：［許可］／［拒否］

　「種類」ではアクセス許可ACEかアクセス拒否ACEかを選択する。同じプリンシパルに対して許可と拒否のACEを定義すると、実際には2つのACEが作成されることになる。

適用先

　この画面で定義されているACEの適用先を選択する。これについては後述の「ACLの継承」を参照のこと。

高度なアクセス許可

　ACEで定義できるアクセス権は、この画面のように全部で14種類ある。簡易表示の場合は6種類しか表示されないが、実際にはこのような細かいアクセス許可属性を組み合わせたものから構成されている。簡易表示と高度な表示の対応は次のようになっている。

ACLの継承

　ACLはファイルやフォルダーに設定するだけでなく、上位のフォルダーから「継承（Inherit）」することもできる。継承機能を使うことにより、新規作成されたファイルやフォルダーに対して、いちいちACLを設定する必要がなくなる。もし継承機能がなければ、新規作成されたファイルやフォルダーにはACLが何もない状態（＝誰もアクセスできない状態）になってしまうだろう。

　例えばユーザーごとのフォルダーを作成する場合、そのユーザーに対してはフルアクセス権を、それ以外のユーザーには（フルアクセスではなく）やや制限されたアクセス権を与えておくのが一般的である。ユーザーのルート（トップ）となるフォルダー（現在のWindows OSなら「C:\Users\user01」などとなる）にこのようなACLを設定して、さらに継承機能を有効にしておけば、その下に作られるファイルやフォルダーには全て自動的に同じACLが割り当てられる。

　アクセス権の継承は、フォルダーのACLでのみ定義できる（ファイルのACLには、継承という概念はない。ファイルの「中」に新しいファイルやフォルダーを作成することはできないから）。継承はACL中のACEごとに設定できる。継承を有効にしておくと、そのACEが新しく作成されたサブフォルダーやファイルにも継承される。継承されたACEは、プロパティの「セキュリティ」タブ画面では、薄くグレー表示されることは、すでに述べた通りだ（先の画面「ACLの簡易表示画面」参照）。

　継承機能によって、どこまで下位のファイルやフォルダーにまでACEが伝達されるかは、設定によって変更できる。それを決定するのが、先の画面「ACEの編集／定義」中にある「適用先」と「これらのアクセス許可を、このコンテナーの中にあるオブジェクトやコンテナーにのみ適用する」の設定である。次の画面のように、適用先には全部で7つの選択肢があり、画面下部にあるチェックボックスのオン／オフと合わせると、全部で14通りの組み合わせがある。

ACEの適用先の選択
フォルダーに設定されたACEの内容は、その中や下位にあるファイルやフォルダーにまで自動的に伝達させることができる。これを「継承」という。どこまで継承させるかは、これらの設定で制御できる。
　 （1）継承先の設定。7通りある。デフォルトでは「このフォルダー、サブフォルダーおよびファイル」が選択されている。
　 （2）継承先を限定するかどうかの設定。オフにしておくと、どこまでも継承される。オンにしておくと、1つ下のファイルやフォルダーまでにしか継承されなくなる。

　「適用先」には全部で7つの選択肢があるが、具体的には次のような意味を持つ。

　この表の中にある「OI」「CI」「IO」（および「NP」「ID」「I」）は、次のような意味を持つ。この表記は、後述するcaclsやicaclsコマンドで利用されている書式である。

　「これらのアクセス許可を、このコンテナーの中にあるオブジェクトやコンテナーにのみ適用する」のチェックボックスをオンにすると、継承先をサブフォルダーまでに限定できる。デフォルトではこのチェックボックスはオフなので、継承先が「このフォルダーのみ」以外の場合は、どこまでも継承されることになる。

　継承先と、このチェックボックスの意味を図にすると次のようになる。

継承先の意味
フォルダーに設定したACLは、その継承設定に従って下位のファイルやフォルダーへも伝達される。「（CI）コンテナー継承」はフォルダーへの継承、「（OI）オブジェクト継承」はファイルへの継承を表す。ACLは、基本的には自分自身（図中の「このフォルダー」）へも適用されるが、「（IO）継承のみ」が有効な場合は、自分自身には適用されない。「（NP）」がオンの場合は、自分自身か、「このフォルダーのファイル」「サブフォルダー」までしか継承されない。

ACEの優先度

　ACEには、「アクセス許可ACE」と「アクセス拒否ACE」の2種類があり、さらに「上位のフォルダーから継承されるACE」もある。このように、1つのオブジェクトに対して複数のACEが定義されているのが一般的であり、これらのACEは、次に示す順でマッチするものがないかどうかがチェックされる。アクセスに使用しているプリンシパル（ユーザーやグループ名）に該当するACEが見つかれば、そのACEが最終的に適用されることになる。

• まず該当オブジェクトで明示的に定義されている「アクセス拒否ACE」をチェックする
• 次に該当オブジェクトで明示的に定義されている「アクセス許可ACE」をチェックする
• 継承したACLの場合は、継承元が一番近いフォルダー（直接の親フォルダー）のACLでチェックする。この場合も、「拒否ACE」→「許可ACE」の順でチェックする
• その次は、もう1つ上の親フォルダーのACLでチェックする。というふうに、1つずつフォルダーを継承元まで遡ってチェックする
• マッチするACEがなければ、アクセスは拒否される

ACLをコマンドプロンプト上で操作する

　ACLの状態を確認するには、エクスプローラーを使ってファイルやフォルダーのプロパティ画面から操作することが多いが、コマンドプロンプト上で操作することも可能である。ACLを操作するためのコマンドはいくつかあるが、代表的なものとしてはcacls.exeやicacls.exe、subinacl.vbsコマンドなどがある。詳細については以下の記事を参照していただきたい。

• TIPS「caclsコマンドの出力の見方」
• TIPS「icaclsコマンドでファイルのアクセス制御リストACLを保存／復元する」
• TIPS「subinaclコマンドでオブジェクトのセキュリティ情報を表示させる（subinaclの基本）」

　これらのコマンドを使えば、ACLを表示／編集できるだけでなく、ACLの状態を保存しておいて後で戻すとか、複数のファイルやフォルダーのACL設定をまとめて変更する、といったことが簡単に行える。

　caclsコマンドは一番古くからWindows OSに用意されているACLの操作用コマンドであるが、いくらか機能が不足しているので、現在では後継のicacls.exeコマンドを使うことが推奨されている。

　icacls.exeはcacls.exeに代わる後継のコマンドで、ACLの保存や復元、リセットなどの機能を持っている。

　これらのコマンドのより詳しい使い方については、前出のTIPS記事を参照していただきたい。

　今回はアクセス制御を実現するACLについて解説した。ACLに対する操作は、ファイルサーバー（NTFS）だけでなく、Windows OS管理のさまざまな場所で使われているので、ぜひ理解しておいていただきたい。

「Windows OS入門」