ACL アーカイブ - しょぼんブログ

Windows Server の管理共有を含めた共有フォルダーの権限一覧を表示する方法 更新履歴 2017/10/25 スクリプト修正 多数のWindows Serverの管理を行い、それぞれのサーバーで共有フォルダーを作成していると、それぞれのアクセス権の設定の理が煩雑となってきます。 本来であれば、運用を見据えて各共有フォルダーのアクセス権設定を管理すべきなのですが（Windowsがそんな管理コンソールを用意してくれれば良いのですが・・・）、管理せずに共有フォルダーを作成したり、各部署が勝手に共有フォルダーを作成している場合、アクセス権設定が正しく設定されていないがために、重要なファイルが漏洩したり、誤って削除される可能性があります。 そんな状況を何とか脱するために、まずは各サーバーに設定されている共有フォルダーと、アクセス権設定一覧を出力する必要があります。 いちいちGUIで確認するのは面倒ですので、下記のPowershellスクリプト（.ps1）を使ってサクッとテキストに落としてみます。 なお、このスクリプトはWindows 8.1以降または、Windows Server 2012 R2以降でのみ有効です。 ## 変数設定 # ログファイルを出力するUNCパスを記載します。 # 今回は、\\kaga\testを共有し、共有名を「test$」、NTFSおよびファイル共有の # パーミッションはEveryone フルコントロールとしています。 $mount_point="\\kaga\test$" # 上記で設定したUNCパスをZドライブとしてマウントします。 $mount_device="Z" # 出力するログをフルパスで指定するようにしています。 # 今回はZドライブ（\\kaga\test$）にスクリプトを実行した端末名.txtというファイルを指定しています。 $log_dir=$mount_device + ":\" + $Env:COMPUTERNAME + ".txt" # 先ほど変数で定義したログファイルを出力するUNCパスをZドライブとしてマウントします New-PSDrive -Name $mount_device -PSProvider FileSystem -Root $mount_point # Get-SmbShareコマンドレットの実行結果を$SmbShare_result変数に代入します。 $SmbShare_result = Get-SmbShare # Write-Outputコマンドレットを利用して、「I am &amp;amp;amp;lt;スクリプトを実行した端末名」という文字列を、ログファイルへ書き込みます。 # なお、Write-Outputコマンドレットは出力した文字列をパイプで渡すもので、Write-Hostコマンドレットを使用した場合、パイプで # 渡せません。そのためWrite-Outputコマンドレットを利用しています。 Write-Output "I am $Env:COMPUTERNAME" | Out-File -Append -FilePath $log_dir # $SmbShare_resultに代入されたGet-SmbShareの実行結果から、Nameオブジェクトを抜き出し、パイプでforeach処理部に渡します。 #foreach処理部では、抜き出したNameオブジェクトを1つずつ処理していきます。 # 今回は、共有名が$で終わる管理共有は対象外と想定しているため、$_（foreachに渡されたNameオブジェクトの中身）を # if文のlikeを使って、$で終わる物を引っかけます。引っかかった物は何の処理もされずに次のNameオブジェクトを取り出して # 処理するようにしています。共有名が$で終わらなかった物はelse句に周り、Get-SmbShareAccessコマンドレットに # $_（foreachに渡されたNameオブジェクトの中身）を渡して、そのアクセス権のリストを$Resultsの中に代入します。 # そして最後に再びWrite-Outputコマンドレットを利用して、$Resultsに格納されたアクセス権一覧を、ログファイルに出力しています。 $SmbShare_result.Name | foreach{ if($_ -like "*`$"){ } else{ $Results=Get-SmbShareAccess $_ Write-Output $Results | Out-File -Append -FilePath $log_dir } } # 最後に、冒頭でマウントしたzドライブをアンマウントします。 Remove-PSDrive -Name $mount_device 実行例 I am KAGA Name ScopeName AccountName AccessControlType AccessRight ---- --------- ----------- ----------------- ----------- shares * BUILTINAdministrators Allow Read shares * KAGAadmiral Allow Read shares * SYOBONmanager Allow Read 管理共有も含めた結果を得たい場合は、下記のPowershellスクリプト（.ps1）を実行してあげればOKです。 $mount_point="\kagatest$" $mount_device="Z" $log_dir=$mount_device + ":" + $Env:COMPUTERNAME + ".txt" New-PSDrive -Name $mount_device -PSProvider FileSystem -Root $mount_point $Result = Get-SmbShare Write-Output "I am $Env:COMPUTERNAME" | Out-File -Append -FilePath $log_dir $Result.Name | foreach{ $Results=Get-SmbShareAccess $_ Write-Output $Results | Out-File -Append -FilePath $log_dir } Remove-PSDrive -Name $mount_device 実行例 I am KAGA Name ScopeName AccountName AccessControlType AccessRight ---- --------- ----------- ----------------- ----------- ADMIN$ * BUILTINAdministrators Allow Full ADMIN$ * BUILTINBackup Operators Allow Full ADMIN$ * NT AUTHORITYINTERACTIVE Allow Full C$ * BUILTINAdministrators Allow Full C$ * BUILTINBackup Operators Allow Full C$ * NT AUTHORITYINTERACTIVE Allow Full IPC$ * BUILTINAdministrators Allow Full IPC$ * BUILTINBackup Operators Allow Full IPC$ * NT AUTHORITYINTERACTIVE Allow Full なお、複数サーバーが存在する場合は、このPowershellスクリプトを、C:WindowsTempあたりに配布して、PsExecを利用することで管理用端末から当該サーバ群の共有フォルダー一覧と、パーミッション設定一覧を取得することが出来ます。 まとめ 本来であればPsExecを利用せずに、Get-SmbShare、Get-SmbShareAccesアプレットに、別コンピュータで実行できるオプションがあれば良いのですが、残念ながらこのサーブレットには、別コンピュータで実行するオプションが用意されていないので、psexecを活用するしかなさそうです・・・ ただし、別コンピュータで実行する場合は、そのスクリプトに署名するか、対象コンピュータのPowerShellから「Set-ExecutionPolicy Unrestricted」または「Set-ExecutionPolicy Bypass」を実行してPowerShellスクリプトの実行ポリシーを変更する必要があるのでご注意ください。