iCACLSを使用してNTFSアクセス許可を設定、コピー、エクスポート、または復元する方法は？

組み込みのiCACLSを使用できます WindowsでNTFSアクセス許可を管理するためのツール。 icacls.exe コマンドラインツールを使用すると、NTFSファイルシステム上のファイルおよびフォルダのアクセス制御リスト（ACL）を取得または変更できます。この記事では、iCACLSを使用してWindowsでNTFSアクセス許可を管理するための便利なコマンドについて説明します。

内容：

• iCACLSを使用したファイルとフォルダーのアクセス許可の表示と設定
• フォルダのNTFSアクセス許可をバックアップ（エクスポート）する方法
• iCaclsを使用してNTFSアクセス許可を復元するにはどうすればよいですか？
• NTFSアクセス許可をデフォルトにリセットする
• あるフォルダから別のフォルダへのNTFSアクセス許可のコピー

iCACLSを使用したファイルとフォルダーのアクセス許可の表示と設定

NTFSボリューム上の任意のオブジェクトへの現在のアクセス許可は、次のように表示できます。

icacls 'C:\Share\Veteran\'

このコマンドは、アクセス許可が割り当てられているユーザーとグループのリストを返します。権限は略語を使用して指定されます：

• F –フルアクセス
• M –アクセスを変更する
• RX –アクセスの読み取りと実行
• R –読み取り専用アクセス
• W –書き込み専用アクセス
• D –削除

継承権はアクセス許可の前に指定されます（継承許可はフォルダーにのみ適用されます）：

• （OI） –オブジェクト継承
• （CI） –コンテナ継承
• （IO） –継承のみ
• （I） –親コンテナから権限を継承する

icaclsを使用すると、フォルダのアクセス許可を変更できます。

「resource\ mun-fs01_Auditors」を付与するには ”フォルダに対する読み取りおよび実行（RX）権限のグループ：

icacls 'C:\Share\Veteran\' /grant resource\mun-fs01_Auditors:RX

ディレクトリACLからグループを削除するには：

icacls 'C:\Share\Veteran\' /remove resource\mun-fs01_Auditors

icaclsを使用すると、親フォルダーからのNTFSアクセス許可の継承を有効にできます。

icacls 'C:\Share\Veteran\' /inheritance:e

または、継承されたACEをすべて削除して継承を無効にします：

icacls 'C:\Share\Veteran\' /inheritance:r

icacls.exeを使用して、ファイルまたはフォルダーの所有権を変更できます

icacls 'C:\Share\Veteran\' /setowner resource\j.smith /T /C /L /Q

フォルダのNTFSアクセス許可をバックアップ（エクスポート）する方法

NTFSフォルダ（または共有ネットワークフォルダ）のアクセス許可に大幅な変更（移動、ACLの更新、リソースの移行）を行う前に、古いアクセス許可をバックアップすることをお勧めします。このコピーを使用すると、元の設定に戻すか、少なくとも特定のファイル/ディレクトリの古い権限を明確にすることができます。

icacls.exeツールを使用して、現在のNTFSディレクトリのアクセス許可をエクスポート/インポートできます。特定のフォルダ（サブディレクトリとファイルを含む）のすべてのACLを取得し、それらをテキストファイルにエクスポートするには、次のコマンドを実行します。

icacls g:\veteran /save c:\backup\veteran_ntfs_perms.txt /t /c

注 。 / t キーは、すべてのサブディレクトリとファイルのACLを取得するために使用されます。 / c アクセスエラーを無視できます。 / qを追加する オプションで、ファイルシステムオブジェクトへの正常なアクセスに関する情報の表示を無効にすることができます。

ファイルとフォルダの数によっては、権限のエクスポートにかなりの時間がかかる場合があります。コマンドが実行されると、ファイルの処理の成功または失敗の数に関する統計が表示されます。

Successfully processed 3001 files; Failed processing 0 files

ファイルveteran_ntfs_perms.txを開きます t任意のテキストエディタを使用します。ご覧のとおり、ディレクトリ内のファイルとフォルダの完全なリストが含まれており、各アイテムには SDDLで指定された現在のアクセス許可があります。 （セキュリティ記述子定義言語）形式。

たとえば、フォルダルートに対する現在のNTFSアクセス許可は次のとおりです。

D:PAI(A;OICI;FA;;;BA)(A;OICIIO;FA;;;CO)(A;OICI;0x1200a9;;;S-1-5-21-2340243621-32346796122-2349433313-23777994)(A;OICI;0x1301bf;;;S-1-5-21-2340243621-32346796122-2349433313-23777993)(A;OICI;FA;;;SY)(A;OICI;FA;;;S-1-5-21-2340243621-32346796122-2349433313-24109193)S:AI

この文字列は、一部のグループまたはユーザーのアクセスを示します。 SDDL構文については詳しく説明しません（SDDL形式については、「Windowsでサービスのアクセス許可を表示および変更する方法」の記事で簡単に説明されています）。オブジェクトを1つだけ選択して、SDDLの小さな部分に焦点を当てましょう：

(A;OICI;FA;;;S-1-5-21-2340243621-32346796122-2349433313-24109193)

A –アクセスタイプ（許可）

OICI –継承フラグ（OBJECT INHERIT + CONTAINER INHERIT）

FA –アクセス許可タイプ（SDDL_FILE_ALL –すべて許可）

S-1-5-21-2340243621-32346796122-2349433313-24109193 –権限が設定されているアカウントまたはドメイングループのSID。 SIDをアカウントまたはグループ名に変換するには、次のPowerShellコマンドを使用します。

$objSID = New-Object System.Security.Principal.SecurityIdentifier ("S-1-5-21-2340243621-32346796122-2349433313-24109193")
$objUser = $objSID.Translate( [System.Security.Principal.NTAccount])
$objUser.Value

または、次のいずれかのコマンドを使用します：
Get-ADUser -Identity SID
または
Get-ADGroup -Identity SID

したがって、ユーザーcorp\dvivarがこのディレクトリに対するフルコントロール権限を持っていることがわかりました。

iCaclsを使用してNTFSアクセス許可を復元する方法

以前に作成したveteran_ntfs_perms.txtファイルを使用して、フォルダーのNTFSアクセス許可を復元できます。 ACLバックアップファイルの値に従ってディレクトリ内のオブジェクトにNTFSアクセス許可を設定するには、次のコマンドを実行します。

icacls g:\ /restore c:\backup\veteran_ntfs_perms.txt /t /c

注 。ファイルから権限をインポートするときは、フォルダ名ではなく、親ディレクトリへのパスを指定する必要があることに注意してください。

すべてのアクセス許可が回復されると、処理されたファイルの数に関する統計も表示されます。

バックアップACLファイルには、絶対ではなく相対のファイルパスが含まれていることに注意してください。これは、フォルダを別のドライブ/ディレクトリに移動した後でも、フォルダのアクセス許可を復元できることを意味します。

NTFSアクセス許可をデフォルトにリセットする

icaclsツールを使用して、フォルダーのアクセス許可（およびネストされたファイルとサブディレクトリ）をリセットできます。

icacls C:\share\veteran /reset /T /Q /C

このコマンドは、指定されたオブジェクトの継承されたNTFSアクセス許可を有効にし、他のACLをすべて削除します。

あるフォルダから別のフォルダへのNTFSアクセス許可のコピー

ACLバックアップ付きのテキストファイルを使用して、NTFSアクセス許可をあるディレクトリから別のディレクトリにコピーできます。

まず、ソースフォルダのNTFSアクセス許可をバックアップします：

icacls 'C:\Share\Veteran' /save C:\PS\save_ntfs_perms.txt /c

次に、保存したACLをターゲットフォルダに適用します。

icacls D:\Share /restore C:\PS\save_ntfs_perms.txt /c

これは、ソースフォルダーと宛先フォルダーの名前が同じである場合に機能します。ターゲットフォルダ名が異なる場合はどうなりますか？たとえば、NTFSアクセス許可をD：\PublicDOCSフォルダにコピーする必要があります。

最も簡単な方法は、 save_ntfs_perms.txtを開くことです。 メモ帳でファイルし、フォルダ名を編集します。置換機能を使用して、ベテランを置換します PublicDOCSの名前 。

次に、ファイルからNTFSアクセス許可をインポートし、それらをターゲットフォルダーに適用します。

icacls D:\ /restore C:\PS\save_ntfs_perms.txt /c

PowerShellを使用して、あるフォルダから別のフォルダにNTFSアクセス許可をコピーするのはさらに簡単です：

Get-Acl -Path 'C:\Share\Veteran' | Set-Acl -Path 'E:\PublicDOCS'