プロジェクト

全般

プロフィール

NTFSのアクセス権設定

NTFSのアクセス権設定について

NTFSでは、アクセスコントロールリスト(ACL: Access Control List)により、誰(SID)が、どこ(ファイル・ディレクトリ)に、どのようなアクセスをするかの許可または禁止を定義します。
また、上位のディレクトリのアクセス権を継承するかしないかの設定もあります。

ファイル(ディレクトリ)のアクセスの種類

16進コード アクセス種類 意味
8000 0000 GENERIC_READ
4000 0000 GENERIC_WRITE
2000 0000 GENERIC_EXECUTE
1000 0000 GENERIC_ALL
0100 0000 ACCESS_SYSTEM_SECURITY セキュリティの読み取り
0010 0000 SYNCHRONIZE 待機関数(WaitForSingleObject他)の利用
0008 0000 WRITE_OWNER 所有者の変更
0004 0000 WRITE_DAC アクセス許可の変更
0002 0000 READ_CONTROL アクセス許可の読み取り
0001 0000 DELETE 削除
0000 0100 FILE_WRITE_ATTRIBUTES 属性の書き込み
0000 0080 FILE_READ_ATTRIBUTES 属性の読み取り
0000 0040 FILE_DELETE_CHILD サブフォルダとファイルの削除
0000 0020 FILE_EXECUTE(対象がファイル) ファイルの実行
FILE_TRAVERSE(対象がディレクトリ) フォルダのスキャン
0000 0010 FILE_WRITE_EA 拡張属性の書き込み
0000 0008 FILE_READ_EA 拡張属性の読み取り
0000 0004 FILE_APPEND_DATA フォルダの作成/データの追加
0000 0002 FILE_WRITE_DATA ファイルの作成/データの書き込み
0000 0001 FILE_READ_DATA フォルダの一覧/データの読み取り

ユーザー(グループ)の種類

よく見かけるものを抜粋します。

SID 名前 意味
S-1-1-0 Everyone 認証を受けたユーザー、Guest、匿名アクセスユーザーが該当
S-1-3-0 Creator Owner オブジェクトの作成者(システムがオブジェクトの現在の所有者に振り替える)
S-1-3-1 Creator Group オブジェクトの作成者のグループ(システムがオブジェクトの現在の所有者のプライマリグループに振り替える)
S-1-5-11 Authenticated Users 認証を受けた全てのユーザー(Guestは含まない)
S-1-5-32-544 Administrators
S-1-5-32-545 Users
S-1-5-21-...-500 (ドメイン)Administrator
S-1-5-21-...-512 Domain Admins
S-1-5-21-...-513 Domain Users

アクセス権の設定と確認方法

icaclsコマンド

適用先

記号 名称 意味
(OI) Object Inherit(オブジェクト継承) このフォルダとファイル
(CI) Container Inherit(コンテナー継承) サブフォルダにのみ適用
(IO) Inherit Only(継承のみ) ファイルとフォルダにのみ適用
(I) Inherit 親コンテナーから継承
(IO)(CI) このフォルダにのみ適用
(OI)(CI)(IO) このフォルダ、サブフォルダ、ファイルに適用
(CI)(IO) サブフォルダにのみ適用
(OI)(IO) ファイルにのみ適用

アクセス権

        単純な権限を列挙:
                N - アクセス権なし
                F - フル アクセス権
                M - 変更アクセス権
                RX - 読み取りと実行のアクセス権
                R - 読み取り専用アクセス権
                W - 書き込み専用アクセス権
                D - 削除アクセス権
        特定の権限をコンマ区切りでかっこ内に列挙:
                DE - 削除
                RC - 読み取り制御
                WDAC - DAC の書き込み
                WO - 所有者の書き込み
                S - 同期
                AS - システム セキュリティへのアクセス
                MA - 無制限
                GR - 一般的な読み取り
                GW - 一般的な書き込み
                GE - 一般的な実行
                GA - 一般的なすべての操作
                RD - データ読み取り/ディレクトリの一覧表示
                WD - データ書き込み/ファイルの追加
                AD - データの追加/サブディレクトリの追加
                REA - 拡張属性の読み取り
                WEA - 拡張属性の書き込み
                X - 実行/スキャン
                DC - 子の削除
                RA - 属性の読み取り
                WA - 属性の書き込み

Windows 7での既定のディレクトリのアクセス権

C:\ProgramData

C:\Users\foo\Documents>icacls C:\ProgramData
C:\ProgramData NT AUTHORITY\SYSTEM:(OI)(CI)(F)
               BUILTIN\Administrators:(OI)(CI)(F)
               CREATOR OWNER:(OI)(CI)(IO)(F)
               BUILTIN\Users:(OI)(CI)(RX)
               BUILTIN\Users:(CI)(WD,AD,WEA,WA)

1 個のファイルが正常に処理されました。0 個のファイルを処理できませんでした

C:\Users\foo\Documents>

クリップボードから画像を追加 (サイズの上限: 1 GB)