Windows ACLを設定したがエクスプローラから設定変更できない問題について

Question

NAS（QNAP）が AD ドメインに参加しており、NAS 側で ACL を設定していますが、Windows クライアントから確認すると ACL が正しく反映されません。 QNAP サポートからは「Windows 側の ACL 処理が原因の可能性が高い」と案内されました。 以下の点について Windows の仕様として正しいか確認したいです。

Windows SMB クライアントが NAS の ACL を読み取る際の仕様

Allow/Deny ACE の順序や継承フラグの扱い

特殊 SID（CREATOR OWNER など）の扱い

SMB バージョンや署名/暗号化設定の違いによる ACL 読み取りの不整合

AD 参加済み NAS が付与した SID を Windows が正しく解釈できないケース

状況：

• NAS は AD に参加済み

ACL は NAS 側で設定

複数台の Windows クライアントで同じ症状

期待する動作： Windows クライアントが NAS 側で設定した ACL を正しく表示・評価すること。NAS（QNAP）が AD ドメインに参加しており、NAS 側で ACL を設定していますが、Windows クライアントから確認すると ACL が正しく反映されません。

QNAP サポートからは「Windows 側の ACL 処理が原因の可能性が高い」と案内されました。 以下の点について Windows の仕様として正しいか確認したいです。

Windows SMB クライアントが NAS の ACL を読み取る際の仕様

Allow/Deny ACE の順序や継承フラグの扱い

特殊 SID（CREATOR OWNER など）の扱い

SMB バージョンや署名/暗号化設定の違いによる ACL 読み取りの不整合

AD 参加済み NAS が付与した SID を Windows が正しく解釈できないケース

状況：

NAS は AD に参加済み

ACL は NAS 側で設定

複数台の Windows クライアントで同じ症状

期待する動作： Windows クライアントが NAS 側で設定した ACL を正しく表示・変更できるようにすること。

Answer 1

kazumaru kuriyama (栗山 一丸 GE) san,

Windows SMB クライアントの ACL 処理仕様について整理します。Windows は NAS 側から返されるセキュリティ記述子をそのまま解釈しますが、基本仕様は Windows NTFS ACL と同一です。Allow/Deny ACE の評価順序は「Deny が先、Allow が後」であり、継承フラグ (OBJECT_INHERIT, CONTAINER_INHERIT) は Windows 側でも正しく解釈されます。特殊 SID（CREATOR OWNER/CREATOR GROUP）は Windows クライアント上では「ACL 編集時に動的に置換される SID」として扱われるため、NAS 側が静的に格納している場合は表示が不整合になることがあります。SMB バージョンや署名/暗号化設定は ACL の読み取り結果に影響しません。ACL は SMB セッションのセキュリティ記述子として返されるため、通信方式の違いは表示不整合の原因にはなりません。最後に、NAS が AD に参加していても SID 解釈は「ドメイン SID が正しく解決できるか」に依存します。NAS 側が SID→名前解決を正しく行えない場合、Windows クライアントは SID をそのまま表示し、結果的に「ACL が反映されていないように見える」状態になります。つまり、Windows の仕様としては正しく SID を解釈する設計であり、不整合は NAS 側の SID 解決や ACL 格納方式に起因するケースが多いです。

もし期待通りに表示されない場合は、NAS 側で wbinfo -n <username> や getent passwd を確認し、SID 解決が正しく動作しているかを検証することが推奨されます。

上記の回答がご質問の解決に役立った場合は、「回答を承認」ボタンを押していただけると、同じ問題に直面している他のコミュニティメンバーが容易に解決策を見つけられます。ご協力に心より感謝いたします。

Harry.