閉じる

PowerShellでACLを確認・変更する方法：NTFSアクセス権の効率的な管理術

広告

Windows ServerやクライアントPCの運用管理において、ファイルやフォルダーに対するアクセス権限の管理は極めて重要な業務の一つです。

GUIのエクスプローラーを使用した権限設定は直感的ですが、大量のフォルダーに対して一括で設定を変更したり、現在の設定状況をリスト化して監査したりする場合には限界があります。

そこで活用したいのが、Windowsの強力な自動化シェルであるPowerShellです。

PowerShellを使用すれば、複雑なNTFSアクセス許可（ACL：Access Control List）をコマンドラインから素早く確認し、正確に変更することが可能になります。

本記事では、PowerShellを用いてACLを効率的に管理するための具体的な手法について詳しく解説します。

目次 [ close ]
  1. PowerShellにおけるACL管理の基礎知識
  2. 権限を確認する：Get-Aclコマンドレットの使い方
    1. 基本的な確認方法
    2. 特定のユーザー権限を抽出する方法
  3. 権限を変更する：Set-Aclによるアクセス制御
    1. 権限の追加手順
    2. 権限の削除・修正手順
  4. ACL管理を効率化する実用的なテクニック
    1. 権限の継承を制御する
    2. 複数フォルダへの一括適用
  5. NTFSアクセス権管理における注意点
  6. まとめ

PowerShellにおけるACL管理の基礎知識

WindowsのファイルシステムであるNTFSでは、各オブジェクトに対して「誰がどのような操作を行えるか」を定義したACLが保持されています。

ACLは複数のACE（Access Control Entry：アクセス制御エントリ）の集合体として構成されています。

PowerShellでこれらを操作する際、中心となるのがGet-AclとSet-Aclという2つのコマンドレットです。

Get-Aclは指定したファイルやレジストリキーのセキュリティ情報を取得するために使用されます。

一方、Set-Aclは取得・編集したセキュリティ情報をオブジェクトに反映させるために使用されます。

これらのコマンドを組み合わせることで、手作業では膨大な時間がかかる権限変更作業を自動化できるようになります。

また、PowerShell 7以降や最新のWindows環境においても、これらの基本的な仕組みは変わらず利用可能です。

権限を確認する：Get-Aclコマンドレットの使い方

まずは、現在の権限設定がどのようになっているかを確認する方法をマスターしましょう。

基本的な確認方法

最もシンプルな方法は、対象のパスを指定してGet-Aclを実行することです。

PowerShell
# 特定のフォルダーのACLを取得する
Get-Acl -Path "C:\Data\ProjectA"
実行結果
Directory: C:\Data

Path     Owner             Access
----     -----             ------
ProjectA BUILTIN\Administrators NT AUTHORITY\SYSTEM Allow  FullControl...

既定の出力では情報が省略されることが多いため、詳細を確認するにはAccessプロパティを展開する必要があります。

以下のコマンドを使用すると、設定されているすべてのACEを一覧で表示できます。

PowerShell
# 詳細なアクセス権限の一覧を表示する
(Get-Acl -Path "C:\Data\ProjectA").Access | Format-Table
実行結果
FileSystemRights  AccessControlType IdentityReference      IsInherited InheritanceFlags PropagationFlags
----------------  ----------------- -----------------      ----------- ---------------- ----------------
     FullControl             Allow NT AUTHORITY\SYSTEM            True ContainerInherit             None
     FullControl             Allow BUILTIN\Administrators         True ContainerInherit             None
     ReadAndExecute          Allow BUILTIN\Users                  True ContainerInherit             None

特定のユーザー権限を抽出する方法

特定のユーザーやグループに対してどのような権限が付与されているかを確認したい場合は、Where-Objectを使用してフィルタリングを行います。

これにより、特定の個人に過剰な権限が割り当てられていないかを効率的に調査できます。

PowerShell
# 特定のユーザー「JohnDoe」の権限のみを確認する
$acl = Get-Acl -Path "C:\Data\ProjectA"
$acl.Access | Where-Object { $_.IdentityReference -like "*JohnDoe*" }

権限を変更する：Set-Aclによるアクセス制御

PowerShellでACLを変更するプロセスは、少し特殊な手順を踏みます。

直接コマンドで「権限を追加」するのではなく、「現在のACLオブジェクトを取得し、メモリ上で編集してから元のオブジェクトに書き戻す」という流れになります。

権限の追加手順

新しいアクセスルールを追加する際は、FileSystemAccessRuleクラスのインスタンスを作成します。

PowerShell
# 1. 現在のACLを取得
$path = "C:\Data\ProjectA"
$acl = Get-Acl -Path $path

# 2. 追加したい権限の定義を作成
# ユーザー, 権限の種類, 継承設定, 伝達設定, 許可/拒否
$identity = "DOMAIN\MarketingGroup"
$rights = "Modify"
$inheritance = "ContainerInherit, ObjectInherit"
$propagation = "None"
$type = "Allow"

$rule = New-Object System.Security.AccessControl.FileSystemAccessRule($identity, $rights, $inheritance, $propagation, $type)

# 3. ACLオブジェクトにルールを追加
$acl.SetAccessRule($rule)

# 4. 変更をファイルシステムに適用
Set-Acl -Path $path -AclObject $acl

このスクリプトを実行することで、指定したグループに「変更」権限が追加されます。

権限の削除・修正手順

既存の権限を削除する場合も同様の手順ですが、RemoveAccessRuleメソッドを使用します。

ただし、削除の際には既存のACEと完全に一致する条件を指定する必要があるため注意してください。

特定のユーザーのすべての権限を削除したい場合は、以下の手法が便利です。

PowerShell
# 特定のユーザーの全ACEを削除する
$path = "C:\Data\ProjectA"
$acl = Get-Acl -Path $path
$identity = "DOMAIN\OldUser"

# 該当するルールをフィルタリングして除外
$acl.Access | Where-Object { $_.IdentityReference -eq $identity } | ForEach-Object {
    $acl.RemoveAccessRule($_)
}

Set-Acl -Path $path -AclObject $acl

ACL管理を効率化する実用的なテクニック

実務では、単一のフォルダーだけでなく、階層構造全体を考慮した管理が求められます。

権限の継承を制御する

親フォルダーからの権限継承を切り離したい場合や、逆に継承を有効にしたい場合があります。

これにはSetAccessRuleProtectionメソッドを使用します。

PowerShell
# 継承を無効にし、現在の継承権限をコピーして保持する
$acl.SetAccessRuleProtection($true, $true)

# 継承を完全に無効にし、既存の継承権限を削除する
$acl.SetAccessRuleProtection($true, $false)

# 継承を有効にする
$acl.SetAccessRuleProtection($false, $false)

第一引数は「継承をブロックするかどうか（trueでブロック）」、第二引数は「現在の継承権限を明示的な権限として保持するかどうか」を指定します。

複数フォルダへの一括適用

Get-ChildItemと組み合わせることで、配下のすべてのサブフォルダーに対して一括で権限設定を適用できます。

PowerShell
# サブフォルダーすべてに特定の権限設定を流し込む
$targetDir = "C:\Data\Shared"
$newAcl = Get-Acl -Path "C:\Templates\StandardAcl"

Get-ChildItem -Path $targetDir -Recurse -Directory | ForEach-Object {
    Set-Acl -Path $_.FullName -AclObject $newAcl
}

この方法は、部門異動に伴う権限の一括変更や、セキュリティポリシーの再適用に非常に有効です。

NTFSアクセス権管理における注意点

PowerShellでACLを操作する際には、いくつか注意すべき重要なポイントがあります。

項目注意内容
実行権限ACLの変更には「管理者として実行」されたPowerShellセッションが必要です。
SDDLの理解$acl.Sddlプロパティで取得できる文字列は、権限のバックアップや復元に便利ですが可読性が低いため注意が必要です。
所有権ファイルの所有者でない場合、管理者であってもACLの変更が拒否されることがあります。その場合は所有権の取得を先に行います。
エラーハンドリングパスが長すぎる場合や、特殊な文字が含まれる場合にエラーが発生することがあります。-LiteralPathの利用を検討してください。

特に、大量のファイルを処理するスクリプトを実行する前には、必ず少数のテスト用ファイルで動作を確認するようにしましょう。

万が一設定を誤ると、システム全体やユーザーがデータにアクセスできなくなるリスクがあります。

まとめ

PowerShellを使用したACLの確認と変更は、Windows管理を効率化するための必須スキルです。

Get-Aclで現状を把握し、FileSystemAccessRuleオブジェクトを介してSet-Aclで反映させるという一連の流れを理解すれば、複雑なアクセス制御も自由自在に行えるようになります。

GUIでは困難な「特定のユーザー権限の抽出」や「複数階層への一括適用」も、PowerShellならわずか数行のスクリプトで実現可能です。

本記事で紹介したテクニックを活用し、より安全で効率的なシステム運用を目指してください。

アクセス権限の適切な管理は、情報漏洩を防ぎ、組織のセキュリティレベルを高めるための第一歩となります。

URLをコピーしました！