Active Directoryでファイルを削除させない設定について

Question

動作環境：Active Directory：Windows Server 2016で稼働

Active Directoryでファイルサーバーを稼働させています。ユーザーはデータに共有ファイルとしてアクセスしています。

その際すべてのユーザーに対してファイルを「削除させない」ようにできないかと考えています（管理者は削除可能にします）

ファイル、フォルダが持っている、または与えられる権限に依存せず、それは維持したままで、追加の設定で「削除させない」という権限を与えたいと考えています。

または別の方法でも良いので削除できなくさせたいです。

一旦、全てのグループ、ユーザーが所属するグループを作成し、そのグループに対して「削除 拒否」の権限を付与してみましたが削除できてしまいます。

良いアイディアがあればご教授いただけますと助かります。

＊＊モデレーター注＊＊

この質問は Windows / Windows 10 / ファイル、フォルダー、オンライン ストレージ に投稿されましたが、内容から判断してこちらのカテゴリに移動いたしました。

適切なカテゴリに投稿すると、返信や回答が得られやすくなり、同じ質問を持つ他のユーザーの参考にもなります。

Answer 1

例えば Office のドキュメント（Word 文書、Excel ブック、PowerPoint プレゼンテーション）であれば、「削除」の権限がないと編集して保存することができなくなります。そのため通常のファイル共有では削除の権限を無しにすることは現実的ではありません。

Answer 2

ご回答ありがとうございます。

情報が足りず申し訳ありません。

バックアップと情報閲覧が目的なので、編集できなくて構いません。

よろしくお願いいたします。

Answer 3

要件は分かりました。

共有しているフォルダー内のアイテム（ファイルやフォルダー）は親からの継承ではなく、それぞれ独自に ACL が構成されているという状況でしょうか。そうなっていると、一括で「削除」のアクセス権だけ無効にすることはできないので、バッチや PowerShell スクリプトを作成して、親フォルダー内のアイテムを再帰的に巡回して一つずつアクセス権を変更するしかないと思います。

数が少なければ頑張って全部手作業した方が早いかもしれません。

Answer 4

ご回答ありがとうございます。

一応、動作検証段階ということもあり、継承に関しては全てのフォルダでONの状態であることを確認しています。

行った動作検証が分かりにくかったかと思いますので、詳細に記載します。

・「共有フォルダA」があり、中に「ファイル1」があります。

・「共有フォルダA」に「ユーザー1」「ユーザー2」に対して権限が与えられています。それぞれの権限は以下のとおりです

「ユーザー1」：読み取り、読み取りと実行、フォルダーの内容の一覧表示

「ユーザー2」：読み取り、読み取りと実行、フォルダーの内容の一覧表示、変更、書き込み

※いずれもフルアクセスは与えられていません

※継承の設定は「このフォルダー、サブフォルーおよびファイル」となっています

・「共有フォルダA」は継承がONになっているので、「ファイル1」には上記の設定が反映されています。また権限は正常に動作していることを確認しています。

・「削除制限グループ」を作成し「ユーザー1」「ユーザー2」を参加させます

・「共有フォルダA」に「削除制限グループ」を設定し、以下のように権限を設定します

「削除制限グループ」：高度なアクセス許可にて「削除」「サブフォルダーとファイルの削除」を「拒否」にします

ネットワーク越しに「ユーザー1」のユーザーで「ファイル1」を削除すると、削除できていまいました（予想では削除ができなくなると考えていた）

上記のように複数のユーザー、グループの権限を乗り越えて、一括で削除を制限する方法を探している次第です。

Answer 5

そもそも

> 「ユーザー1」：読み取り、読み取りと実行、フォルダーの内容の一覧表示

であれば、それ以上の設定をしなくてもファイルの削除はできないはずです。

にもかかわらず削除ができるということは

• アクセス権の設定自体が（意図とは異なり）正しくできていない（「ユーザー1」が削除を許可されているグループに所属しているなど）
• 「削除」の操作を行っている際のユーザー権限が「ユーザー1」ではない

など考えられます。

icacls | Microsoft Learn コマンドなどで対象のフォルダー/ファイルのアクセス権を再度確認してください。

また [コンピューターの管理] - [共有フィルダー] で共有へのアクセスを行っているアカウントを確認してください。