資格情報について 不特定多数のメンバーが利用するパソコン

Question

お世話になります。

Windowsサーバーをアプリケーションサーバーとして利用中ですが

同サーバーでNASのようにファイル共有をしたいと考えております。

①だれでも入れるフォルダ

②権限ありのフォルダ（ただし離席する度にユーザーが変わるため権限のリセットをしたい）

ユーザーパスワードを求められるのは②のパターンのみで

①はユーザーパスワードを求められずだれでもアクセスできるようにしたい

資格情報を削除してサインアウト（サインアウトまでしないとフォルダに入れてしまうため）するバッチファイルを作成しましたがそうすると①がかなえられず。

何かいい案があればご教授頂けると幸いです。

Answer 1

チャブーンです。

この件ですが、よくわからない点はありますが、以下のアクセス許可を行えば、まぁ可能かと思います。

• 共有アクセス許可→Everyoneフルコントロール
• NTFSアクセス許可:全員がみられる→Usersグループフルコントロール
• NTFSアクセス許可:個別ユーザーごと→個別ユーザーのフルコントロール

Usersというのは、アカウント全員が基本的に属しているグループのことで、事実上(ユーザー)全員を含んでいます。なので、全員がアクセスできる、ということです。個別ユーザーとUsersグループの両方が同じフォルダーにアクセス許可を持っている場合、区別ができなくなりますので、「継承の無効化」を行って個別アクセス許可を指定してください。

ちなみに

資格情報を削除してサインアウト（サインアウトまでしないとフォルダに入れてしまうため）

これは仕様なので、仕方ないです。ユーザーがアクセス時に入力したアカウントとパスワードは、パソコンの「物理メモリ」に記録され、ユーザーや管理者がこれを取り除くことはできません。唯一の方法が、「サインアウトして『ユーザーが保持していた物理メモリ情報』をリセットする」ということになります。

Answer 2

離席する度にユーザーが変わるため

というのがよく分からないのですが、Windows Server のファイル共有にアクセスするクライアント PC が共用 PC で、利用者が不特定かつ全員が同じアカウントでサインインしているということでしょうか？

共用 PC であっても利用者が変わるごとにサインインし直せば、ファイル共有へのアクセスの際にパスワードを求めることは可能ですが、サインインしている間はファイル共有用の資格情報はメモリ上にキャッシュされているので、物理的な利用者（PC を操作している人）が変わるごとにパスワードを求めるようにすることは不可能です。

ちなみに上のような運用として、「①」の方は共用 PC へのサインイン アカウントでアクセスできる共有を作製すれば、まず Windows へのサインイン資格情報でネットワーク共有にアクセスしますので、「誰でも入れる」は実現できます。

ただし、その方法で「誰でも入れる」共有にアクセスしてしまうと、今度は同じサーバー上の「権限ありのフォルダ」へのアクセスができなくなります。なぜなら上記で示したような資格情報のキャッシュはフォルダー単位ではなくサーバー単位で記憶されるので、「誰でも入れる」共有にアクセスした際の資格情報がキャッシュされ、それが「権限ありのフォルダ」へのアクセスでも自動的に使われてしまうからです。

結論的に言えば、Windows Server のファイル共有にアクセスする共有 PC でもユーザーが個々のアカウントでサインインするようにして、ファイル共有側では「誰でも入れる」フォルダーには全員のアクセス許可を、「権限ありのフォルダ」に特定のアカウント（またはグループ）のみのアクセス権を設定すれば、「誰でも入れる」フォルダーと「権限ありのフォルダ」の両立は可能です。