File Storage NAS:AD ドメインユーザーによる Windows クライアントでの SMB ファイルシステムのマウントと使用

mklink コマンドによる SMB ファイルシステムのマウント

mklink コマンドを実行して、Windows クライアントのローカルディスク上に SMB ファイルシステムのマウントターゲットのシンボリックリンクを作成できます。また、ファイルとディレクトリの ACL を表示および編集することもできます。

1. コマンド プロンプトを使用して、ファイルシステムのマッピングを作成します。

   mklink /D c:\myshare \\nas-mount-target.nas.aliyuncs.com\myshare

   このコマンドで、c:\myshare はシンボリックリンクのローカルパス、\\nas-mount-target.nas.aliyuncs.com\myshare はお使いの SMB ファイルシステムのマウントターゲットのパスです。

2. 一般ユーザーにシンボリックリンクを使用するアクセス許可を付与します。

   Administrator アカウントを使用している場合は、この手順をスキップできます。

   1. 管理者として、secpol.mscを検索して実行します。

   2. [ローカル セキュリティ ポリシー]ウィンドウで、[ローカル ポリシー] > [ユーザー権利の割り当て]と進みます。[シンボリック リンクの作成]ポリシーをダブルクリックします。表示されたプロパティダイアログボックスで、[ユーザーまたはグループの追加]をクリックしてユーザーを追加します。

   3. 一般ユーザーとして Windows クライアントに再度ログインします。

3. SMB ファイルシステムにアクセスし、ファイルとディレクトリの ACL を表示します。

   シンボリックリンクを作成した後、Windows のローカルディスクのサブディレクトリにアクセスするのと同じ方法で SMB ファイルシステムにアクセスできます。また、ファイルとディレクトリの ACL を表示および編集することもできます。

ファイル エクスプローラーによるファイルとディレクトリの ACL の表示と編集

Windows クライアントのローカルディスクに SMB ファイルシステムのマウントターゲットのシンボリックリンクを作成した後、ファイル エクスプローラーを使用してファイルとディレクトリの ACL を表示および編集できます。

1. 対象のファイルまたはディレクトリを見つけて右クリックし、[プロパティ]を選択します。

2. [プロパティ]ダイアログボックスで、[セキュリティ]タブに移動し、[編集]をクリックします。

3. [アクセス許可] ダイアログボックスで、[追加]をクリックします。[ユーザー、コンピューター、サービス アカウント、またはグループの選択]ダイアログボックスで、[場所] フィールドが AD ドメインに設定されていることを確認します。[選択するオブジェクト名を入力してください]ボックスに対象のユーザー名を入力し、[OK]をクリックします。

ファイル エクスプローラーで SMB ファイルシステム内を移動する際は、[戻る]ボタンまたは[上へ]ボタンを使用してディレクトリツリーを移動してください。アドレスバーの階層リンク (パンくずリスト) を使用して親フォルダーに移動しないでください。

Alibaba Cloud SMB ファイルシステムは AD ドメインに参加していないため、ローカルシンボリックリンクパス (例: C:\myshare) ではなくネットワークパス (例: \\nas-mount-point.nas.aliyuncs.com\myshare) を使用して共有にアクセスすると、ACL を設定しようとした際に「RPC サーバーを利用できません」というエラーが発生することがあります。これは、クライアントがマウントターゲットのドメイン参加を確認できないために発生するエラーです。

PowerShell コマンド

PowerShell の Get-Acl および Set-Acl コマンドレットを使用すると、ファイルとディレクトリの ACL を表示および編集できます。

• Get-Acl

  $value = Get-Acl -Path "Z:"
  # プロパティを設定する
  $value.Access

  PS C:\Users\testmonkey> $value
  
      Directory:
  
  Path  Owner     Access
  Z:\   Everyone  Everyone Allow  FullControl...
  
  PS C:\Users\testmonkey> $value.Access
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : Everyone
  IsInherited       : False
  InheritanceFlags  : None
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : CREATOR OWNER
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : InheritOnly
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : NT AUTHORITY\SYSTEM
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : BUILTIN\Administrators
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : None

  # プロパティを設定する
  $identity = "Administrator"
  $fileSystemRights = "FullControl"
  $type = "Allow"
  # 新しいルールを作成する
  $fileSystemAccessRuleArgumentList = $identity, $fileSystemRights, $type
  $fileSystemAccessRule = New-Object -TypeName System.Security.AccessControl.FileSystemAccessRule -ArgumentList $fileSystemAccessRuleArgumentList
  # 新しいルールを適用する
  $value.SetAccessRule($fileSystemAccessRule)
  $value.Access

  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : Everyone
  IsInherited       : False
  InheritanceFlags  : None
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : CREATOR OWNER
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : InheritOnly
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : NT AUTHORITY\SYSTEM
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : BUILTIN\Administrators
  IsInherited       : False
  InheritanceFlags  : ContainerInherit, ObjectInherit
  PropagationFlags  : None
  
  FileSystemRights  : FullControl
  AccessControlType : Allow
  IdentityReference : DOMAIN\Administrator
  IsInherited       : False
  InheritanceFlags  : None
  PropagationFlags  : None

• Set-Acl

  Set-Acl コマンドレットは mklink c:\myshare シンボリックリンクを必要としません。これを使用して、ルートディレクトリを含め、マウントされたドライブパス上のアクセス許可を直接変更できます。

  Set-Acl $value -Path "Z:"

  重要

  ファイルシステムの作成直後にルートディレクトリのアクセス許可を設定することを推奨します。そうしないと、後からサブディレクトリとサブファイルの権限も変更する必要が生じます。これは、アクセス許可がルートディレクトリからサブディレクトリに継承されるためです。

icacls コマンド

icacls コマンドは、Windows コマンドラインでの ACL 操作の標準コマンドです。 icacls コマンドを使用して、ファイルまたはディレクトリの ACL を表示および編集できます。

例：

icacls z:
# ユーザーにフルコントロールのアクセス許可を付与する。
icacls z: /grant <username>:(F)
# 管理者にフルコントロールのアクセス許可を付与する。
icacls z: /grant administrator:(F)
icacls z:
# ユーザーのすべてのアクセス許可を削除する。
icacls z: /remove <username>
# Everyoneグループのすべてのアクセス許可を削除する。
icacls z: /remove Everyone
icacls z:

C:\Users\Administrator>icacls z:
z: Everyone:(F)
   CREATOR OWNER:(OI)(CI)(IO)(F)
   NT AUTHORITY\SYSTEM:(F)
   BUILTIN\Administrators:(F)
   BEIJING-H\qinzhou:(F)

Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z: /grant Administrator:(F)
processed file: z:
Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z:
z: BEIJING-H\administrator:(F)
   Everyone:(F)
   CREATOR OWNER:(OI)(CI)(IO)(F)
   NT AUTHORITY\SYSTEM:(F)
   BUILTIN\Administrators:(F)
   BEIJING-H\qinzhou:(F)

Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z:
z: Everyone:(F)
   CREATOR OWNER:(OI)(CI)(IO)(F)
   NT AUTHORITY\SYSTEM:(F)
   BUILTIN\Administrators:(F)
   BEIJING-H\qinzhou:(F)

Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z: /remove Everyone
processed file: z:
Successfully processed 1 files; Failed processing 0 files

C:\Users\Administrator>icacls z:
z: CREATOR OWNER:(OI)(CI)(IO)(F)
   NT AUTHORITY\SYSTEM:(F)
   BUILTIN\Administrators:(F)
   BEIJING-H\qinzhou:(F)

Successfully processed 1 files; Failed processing 0 files