Windows TIPS
［System Environment］
icacls／subinaclでアクセス制御リストからメンバーを削除する
→ 解説をスキップして操作方法を読む
対象OS
Windows 2000
Windows XP
Windows Server 2003
Windows Vista
Windows Server 2008
Windows 7
Windows Server 2008 R2
■ ファイルやフォルダ、レジストリなどのオブジェクトに対するアクセス権は、アクセス制御リストACLで管理されている。
■ 特定のアカウントに対するACLのエントリを削除するには、icaclsやsubinaclコマンドを利用する。
■ 削除済みのアカウントに対するエントリを削除するには、SID形式で指定する。
TIPS「icaclsコマンドでアクセス制御リスト中のメンバーを検索する 」や「subinaclコマンドでアクセス制御リスト中のメンバーを検索する 」では、icacls／subinaclコマンドを使ってアクセス制御リスト（以下ACL）中に含まれる、特定のメンバー名（が含まれるエントリ）を検索する方法を紹介した。本TIPSではこの応用として、特定のメンバーが含まれるエントリを削除する方法を紹介する。人事異動などでセキュリティ設定を変更する場合や、すでに削除してしまったユーザーやグループ・アカウントが含まれるエントリを削除したいといった場合に利用できる。caclsコマンドで行う方法はTIPS「caclsコマンドでACLを編集する 」で紹介しているが、本TIPSではicaclsやsubinaclコマンドでの利用方法を解説する。
なお、Windows Server 2003向けのicaclsコマンドの入手方法については、TIPS「icaclsコマンドでファイルの所有者を変更する 」を参照していただきたい。またsubinaclコマンドの入手はTIPS「subinaclコマンドでオブジェクトのセキュリティ情報を表示させる（subinaclの基本） 」を参照するか、以下のリンク先からダウンロードしていただきたい。
icaclsコマンドで特定のアカウントのACLエントリを削除する
icaclsコマンドで特定のユーザー／グループ・アカウントが含まれるエントリを削除するには、/removeオプションを利用する。
C:\>icacls /? ……ヘルプの表示 ……（中略）…… ……これを利用する ……（以下省略）……
今、次のようなアクセス権が設定されたファイルがあるとする。
C:\>icacls x.txt ……caclsコマンドによる確認。以下の6つのエントリがある ……これを削除してみる
このACLから、例えば先頭のuser01アカウント（これはローカルPCのアカウント）に対する許可エントリを削除するには、次のように/removeオプションを指定する。
C:\>icacls x.txt /remove user01 …user01のエントリを削除する icacls x.txt ……結果の確認 ……この直前のエントリが削除されている
サブフォルダ全体を処理する場合は、/tオプションを追加する。
subinaclコマンドで特定のアカウントのACLエントリを削除する
subinaclコマンドで特定のユーザー／グループ・アカウントが含まれるエントリを削除するには、/revokeオプションを利用する。
C:\>subinacl /help /revoke ……ヘルプの表示 ……削除コマンド
先ほどと同じファイル（x.txt）がある場合に、user01アカウントに対するエントリを削除するには次のようにする。
C:\>icacls x.txt ……caclsコマンドによる確認 ……以下の6つのエントリがある subinacl /file x.txt /revoke=user01 ……user01に対するエントリの削除 ……処理中 ……結果 icacls x.txt ……結果の確認 ……1つ削除されている
「/file ＜名前＞ ＜名前＞ subinaclコマンドでオブジェクトのセキュリティ情報を表示させる（subinaclの基本） 」を参照していただきたい。
不明アカウントに対するエントリの削除
ローカル・コンピュータやドメインからユーザーやグループを削除しても、ファイルやフォルダなどのオブジェクトに付けられたACL中のエントリはそのままである。そのようなケースでACLの内容を表示させると、アカウントの代わりに、「<アカウント ドメインが見つかりません> 」や「アカウント名とセキュリティ ID の間のマッピングは実行されませんでした。 」といったメッセージが表示される。例えば、アカウントuser02を削除すると次のようになる。
※先ほどの例において、user02というアカウントが削除された場合の例 cacls x.txt ……caclsによる確認 ……（中略）…… ……不明アカウントに対するエントリ ……（中略）…… icacls x.txt ……icaclsによる確認 ……不明アカウントに対するエントリ
このような場合は、削除されたアカウントをSID文字列形式で指定すればよい。SID文字列とは、オブジェクトの内部名であり、例えば「S-1-1-0」といった形式となっている。詳細はTIPS「オブジェクトを識別するSIDとは？ 」「whoamiコマンドでユーザーのSIDや権利を調査する 」を参照していただきたい。subinaclコマンドでは、アカウントが不明な場合はSID形式で表示されるので、これで確認する。
C:\>subinacl /file x.txt ……subinaclによる確認 ……（中略）…… S-1-5-21-515967499-1637732038-1606110848-1031 ACCESS_ALLOWED_ACE_TYPE-0x0 ……これが削除されたアカウントに対するエントリ ……（以下省略）……
このリストの中にある、「S-1-5-21-…… 」というのが削除されたエントリに対するSID文字列である。これを指定して、エントリを削除すればよい。
subinaclなら、アカウント名の代わりにSID文字列を直接そのまま記述すればよい。
C:\>subinacl /file x.txt /revoke=S-1-5-21-515967499-1637732038-1606110848-1031 ……削除
なおicaclsコマンドでは、SID文字列の前に「*」を付ければSID形式でアカウントを指定できることになっているが、削除済みアカウント（や存在しないアカウントなど）の場合は利用できないようである（SIDとして正しいかどうか検証できないのでエラーとしているようだ）。icaclsではこの表記方法は、有効なアカウントを使ってACLを編集したり、削除する場合にのみ利用できる。
C:\>icacls x.txt /remove *S-1-5-21-515967499-1637732038-1606110848-1031 ……SID形式で指定してみる ……エラー icacls x.txt /grant *S-1-1-0:F ……Everyone:Fを追加してみる
この記事と関連性の高い別のWindows TIPS
generated by
TechTargetジャパン
Windows Server Insider フォーラム 新着記事
キャリアアップ
