Windows Server 2025 / SMB共有とNTFSアクセス権を設定する

SMB共有へのネットワークアクセスは、共有とNTFSの両方の権限を満たす必要があります。NTFSが変更可能でも共有が読み取りなら書き込めず、サーバー上のローカルパスでは共有権限の検査を通りません。

空のフォルダーと利用者を準備する

FS1はドメインメンバーでNTFSのD:を持ち、labuser1はGG_LabUsersへ所属させます。運用中のフォルダーを変えず、新しいD:\LabShares\LabReadを作ります。接続は通常名の\\fs1.ad.example.test\LabReadを使います。

Get-WindowsFeature FS-FileServer
Install-WindowsFeature FS-FileServer

必要なファイルサーバー機能とDomain用規則を確認します。SMB（Server Message Block）の仕組みはSMBファイル共有の概要を参照します。

NTFSの読み取りを設定する

1. 新規フォルダーのプロパティ → セキュリティ → 詳細設定で継承を調べます。
2. この空の実習フォルダーだけで継承を無効化し、既存項目を明示的な権限へ変換します。
3. 必要なSYSTEMと管理者のフルコントロールを維持します。
4. Users、Authenticated Users、Everyoneなどの広い許可を確認します。
5. AD\GG_LabUsersへ読み取りと実行、一覧、読み取りを意図した子の範囲で許可します。

既存データツリーへこの手順を一括適用しません。説明できない許可を多数の拒否で打ち消すより、必要な許可を整理します。

共有を作り二層の設定を記録する

プロパティ → 共有 → 詳細な共有でLabReadを公開します。共有側はGG_LabUsersに読み取りだけを与え、必要な管理権は維持します。共有名、パス、共有ACL、NTFS ACLを別に記録します。

Get-SmbShare -Name 'LabRead' | Select-Object Name,Path
Get-SmbShareAccess -Name 'LabRead'
(Get-Acl -LiteralPath 'D:\LabShares\LabRead').Access | Select-Object IdentityReference,FileSystemRights,AccessControlType,IsInherited

New-SmbShareの引数は共有側の権限を制御します。共有を作ってもNTFSのアクセス制御リスト（ACL）が自動で目的の値になるわけではありません。

一般ユーザーで読み取りと拒否を確認する

1. FS1の管理者としてreadme.txtを作ります。
2. CLIENT1へlabuser1で新しく入り、whoamiとwhoami /groupsを確認します。
3. 通常名の共有を開き、テキストを読めるか確認します。
4. 作成や変更を試し、読み取り専用で拒否されることを確認します。

既存の管理者SMB接続を使うと誤判定します。同じサーバーの資格情報が再利用される場合があるため、接続状態を調べ、作業を保存して該当接続だけを閉じてから試します。

一方ずつ変えて実効権限を比べる

最初にNTFSだけを変更へ上げても書けないことを確認します。次に共有も変更へして小さなファイルを作成・編集・削除します。実際は所属、拒否、継承、対象範囲も影響するため実ACLを調べます。

最後は両方を読み取りへ戻して再確認します。共有の削除とデータの削除は別です。テストファイルだけを権限のあるローカル操作で整理し、後の実習で使う共有は残します。