Windows 10 / Windows Server 2016でパスワード不要の匿名ファイル共有とプリンター共有を有効にする方法

デフォルト設定では、ワークグループのコンピューターからActive Directoryドメインに参加しているサーバー上のネットワーク共有フォルダーへアクセスしようとすると、ドメインアカウントの資格情報を求めるダイアログが表示されます。本記事では、Windows 10 / Windows Server 2016環境において、ドメインサーバー上の共有フォルダーやプリンターへの認証なし(匿名)アクセスを、ワークグループコンピューターから有効にする方法を詳しく解説します。

匿名アクセスを有効化する前の注意点

セキュリティの観点から、ゲストアカウントによる匿名ネットワークアクセスの有効化は推奨されません。特にADドメインコントローラー上では絶対に実施しないでください。匿名アクセスを有効にする前に、まずはより安全な方法——ワークグループコンピューターをドメインに参加させる、またはワークグループ内の全ユーザー向けにドメインアカウントを作成する——を検討することをおすすめします。

ローカルグループポリシーでの匿名アクセス設定

まず、匿名アクセスを許可したいサーバー/コンピューターでローカルグループポリシーエディター(gpedit.msc)を開きます。

次のGPOセクションへ移動します:コンピューターの構成 → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション。以下のポリシーを設定します。

• アカウント:Guestアカウントの状態: 有効
• ネットワークアクセス:Everyoneのアクセス許可を匿名ユーザーに適用する: 有効
• ネットワークアクセス:SAMアカウントと共有の匿名列挙を許可しない: 無効

セキュリティを確保するため、「ローカルポリシー → ユーザー権利の割り当て」配下の「ローカルでのログオンを拒否」ポリシーにGuestアカウントが指定されていることを確認してください。

また、同じセクション内の「ネットワーク経由でこのコンピューターにアクセス」ポリシーにもGuestが含まれていること、そして「ネットワーク経由でこのコンピューターへのアクセスを拒否」ポリシーにはGuestが含まれていないことを確認します。

さらに、Windows側でネットワーク共有機能が有効になっていることも確認してください(設定 → ネットワークとインターネット → イーサネット → 共有の詳細オプションの変更)。「すべてのネットワーク」セクションで、「パブリックフォルダーの共有を有効にする(ネットワーク上のユーザーが読み書き可能)」を選択し、ネットワーク内のすべてのデバイスを信頼できる場合は「パスワード保護共有を無効にする」を選択します。

共有フォルダーへの匿名アクセスを許可する手順

次に、共有したいネットワークフォルダーのアクセス権限を設定します。フォルダーのプロパティを開き、「セキュリティ」タブで現在のNTFSアクセス許可を確認します。「編集」→「追加」→「Everyone」の順に選択し、Everyoneローカルグループに読み取り権限(必要に応じて変更権限も)を割り当てます。ここでは読み取り専用権限を付与しています。

続いて「共有」タブで、匿名ユーザーが共有フォルダーへアクセスできるよう設定します(共有 → 詳細な共有 → アクセス許可)。Everyoneグループに「変更」および「読み取り」権限が付与されていることを確認してください。

最後に、ローカルグループポリシーエディターの「ローカルポリシー → セキュリティオプション」セクションで、「ネットワークアクセス:匿名でアクセスできる共有」ポリシーを有効にします。ここで、匿名アクセスを許可したい共有フォルダー名を指定します(例ではShare1、Distr、Docsフォルダー)。

共有プリンターへの匿名アクセスを有効にする方法

コンピューター上の共有プリンターへの匿名アクセスを有効にするには、コントロールパネル → ハードウェアとサウンド → デバイスとプリンターから共有プリンターのプロパティを開きます。「共有」タブで「クライアントコンピューターで印刷ジョブをレンダリングする」にチェックを入れます。

次に、プリンターの「セキュリティ」タブで、Everyoneグループに必要な権限がすべて付与されていることを確認します。

動作確認と注意点

以上の設定完了後、ワークグループコンピューターからドメインコンピューター/サーバー上の共有フォルダー(\\サーバー名\共有フォルダー名)やプリンターへ、資格情報を入力することなく接続できるようになります。

ただし注意点として、Windows 10 バージョン1709以降では、SMBv2プロトコルを使用したゲストアカウントによる共有フォルダーへのネットワークアクセスが既定で制限されています。その場合、次のようなエラーが表示されます:「組織のセキュリティポリシーにより、認証されていないゲストアクセスがブロックされているため、この共有フォルダーにアクセスできません」。このエラーが発生した場合は、関連記事の手順に従ってレジストリやポリシーの設定を見直してください。