Windows Server 2025 / 部署別グループで共有フォルダーの権限を設計する

部署別の共有は、利用者を業務グループへ、そのグループを権限用グループへ入れて管理すると見直しやすくなります。SalesとSupportを分け、自部署での変更と他部署への拒否を一般ユーザーで検証します。

利用者・業務・リソースを分ける

単一ドメインのAGDLPはAccounts → Global → Domain Local → Permissionsという構成です。有用な出発点ですが唯一の設計ではありません。

FS1のNTFSで実習し、既存グループや運用共有を上書きしません。

グループと一般アカウントを作る

1. LabGroupsへ四つのセキュリティグループを表の範囲で作ります。
2. LabUsersへsales.user1とsupport.user1を固有パスワードで作ります。
3. 各利用者を対応する業務グループだけへ入れます。
4. GG_SalesをDL_FS_Sales_Modifyへ、Supportも同様に入れ子にします。
5. 管理者や相手部署へ所属していないことを確認します。

Get-ADGroupMember 'GG_Sales'
Get-ADGroupMember 'DL_FS_Sales_Modify'
Get-ADGroupMember 'GG_Support'
Get-ADGroupMember 'DL_FS_Support_Modify'

範囲はADグループの作成条件で確認します。異動では各フォルダーへ個人を追加するより業務グループ所属を見直します。

NTFSへリソースグループを割り当てる

Salesの詳細セキュリティを開き、新しい空のフォルダーだけで継承を明示権へ変換します。SYSTEMと管理者を残し、不要な広い許可を調べ、AD\DL_FS_Sales_Modifyへ変更を子にも適切に付与します。Supportも対応するグループだけを使います。

変更は通常の内容操作を許可し、権限変更も含むフルコントロールとは異なります。複数グループの許可は合算される場合があります。いきなり他部署への拒否を追加せず、必要な正の許可を明確にします。

共有側も設定して通常名で試す

詳細な共有でSalesを作り、権限用グループへ変更を許可して管理者の必要権を残します。Supportも同様です。

Get-SmbShare -Name Sales,Support | Select-Object Name,Path
Get-SmbShareAccess -Name Sales
Get-SmbShareAccess -Name Support

\\fs1.ad.example.test\Salesなど通常名で接続します。IPや予定外の別名を混ぜると認証条件の比較が難しくなります。アクセスベースの列挙で非表示にできても、表示とアクセス許可は別に検証します。

双方の利用者で交差試験する

CLIENT1で利用者ごとに入り直し、whoamiと既存SMB接続を確認します。所属変更後は新しいトークンで試します。失敗は共有ACL、NTFSの継承、所属、資格情報を分けて調べます。

異動を比べるなら業務所属だけを変え、再サインインして結果を確認し、元へ戻します。削除前はACLの参照を調べ、未解決SIDを残さないようにします。後のDFSで使う共有は維持します。