セキュリティ記述子

セキュリティ記述子は、セキュリティ保護可能なWindows オブジェクト、つまり一意の名前で識別できるオブジェクトのセキュリティ情報のデータ構造です。セキュリティ記述子は、ファイル、フォルダー、共有、レジストリキー、プロセス、スレッド、名前付きパイプ、サービス、ジョブオブジェクト、その他のリソースなど、任意の名前付きオブジェクトに関連付けることができます。^[¹^]

セキュリティ記述子には、ユーザーやグループなどの受託者へのアクセスを許可または拒否するアクセス制御エントリ (ACE) を含む任意アクセス制御リスト(DACL) が含まれています。また、オブジェクトアクセスの監査を制御するシステムアクセス制御リスト (SACL) も含まれています。 ^{[ 2 ]}^{[ 3 ]} ACE は、オブジェクトに明示的に適用することも、親オブジェクトから継承することもできます。ACL 内の ACE の順序は重要であり、アクセスを拒否する ACE は、アクセスを許可する ACE よりも上位に表示されます。セキュリティ記述子には、オブジェクトの所有者も含まれています。

強制的な整合性制御は、セキュリティ記述子上の新しいタイプのACEによって実装されます。^{[ 4 ]}

ファイルとフォルダーのアクセス許可は、Windows エクスプローラ、WMI 、 Cacls、XCacls、ICacls、SubInACLなどのコマンドラインツール、 ^{[ 5 ]}フリーウェアの Win32 コンソールFILEACL、^{[ 6 ]}^{[ 7 ]}フリーソフトウェアユーティリティ SetACL、その他のユーティリティなど、さまざまなツールで編集できます。セキュリティディスクリプタを編集するには、ユーザーはオブジェクトに対する WRITE_DAC アクセス許可が必要です。^{[ 8 ]}このアクセス許可は通常、デフォルトで管理者とオブジェクトの所有者に委任されています。

NTFSにおけるアクセス許可

次の表は、NTFS アクセス許可とその役割を（各行に）まとめたものです。この表には次の情報が表示されます。^{[ 9 ]}^{[ 10 ]}^{[ 11 ]}

権限コード：各アクセス制御エントリ（ACE）は、数値コードによって権限を指定します。累積可能なコードは14種類（旧システムでは12種類）あります。
意味：各パーミッションコードには、ファイルに適用されるかフォルダに適用されるかによって意味が異なります。たとえば、ファイルに対するコード0x01はファイルの読み取り権限を示し、フォルダに対するコード0x01はフォルダの内容一覧表示権限を示します。しかし、意味を知っているだけでは役に立ちません。ACEは、その権限が誰に適用されるか、そしてその権限が許可されるか拒否されるかも指定する必要があります。
含まれるもの： ACEは、個別のアクセス許可に加えて、「汎用アクセス許可」と呼ばれる特別なアクセス許可を指定できます。これらの特別なアクセス許可は、多数の個別のアクセス許可と同等です。たとえば、GENERIC_READ（またはGR）は、「データの読み取り」、「属性の読み取り」、「拡張属性の読み取り」、「アクセス許可の読み取り」、「同期」と同等です。これら5つを同時に要求するのが合理的であるため、「GENERIC_READ」を要求する方が便利です。
エイリアス:セキュリティ記述子定義言語と Windows コマンドラインユーティリティ ( icaclsおよびcacls ) には、これらのアクセス許可に対する独自のエイリアスがあります。

これらの権限のほとんどは説明不要ですが、以下のものを除きます。

ファイルの名前を変更するには、「削除」権限が必要です。^{[ 12 ]}
ファイルエクスプローラーは「同期」を表示せず、常に設定します。ファイルエクスプローラーやWindowsコマンドプロンプトなどのマルチスレッドアプリケーションは、ファイルやフォルダーを操作するために「同期」権限が必要です。^{[ 13 ]}

脚注

↑ GENERIC_READ（ファイルエクスプローラーでは「読み取り」として知られています）
↑ GENERIC_EXECUTE（ファイルエクスプローラーでは「読み取りと実行」として知られています）
↑ GENERIC_WRITE（ファイルエクスプローラーでは「書き込み」として知られています）
↑ GENERIC_ALL（ファイルエクスプローラーでは「フルコントロール」として知られています）
↑ファイルエクスプローラーでは「変更」として知られています

参考文献

↑ 「セキュリティ保護可能なオブジェクト」。マイクロソフト。2008年4月24日。 2008年7月16日取得。
↑ 「セキュリティ記述子とアクセス制御リストとは？」。マイクロソフト。2008年5月5日にオリジナルからアーカイブ済み。2008年7月16日に取得。
↑ 「DACLとACE」。マイクロソフト。2008年4月24日。 2008年7月16日取得。
↑ https://msdn.microsoft.com/en-us/library/bb625957.aspx Windows の整合性メカニズムとは何ですか?
↑ SubInACL ホームページ
↑ FILEACL ホームページ ( 2012年8月29日にWayback Machineにアーカイブされました)
↑ "FILEACL v3.0.1.6" . Microsoft . 2004-03-23. 2008年4月16日のオリジナルからアーカイブ済み。2008-07-25に取得。
↑ "ACCESS_MASK データ型" . Microsoft . 2008-04-24 . 2008-07-23に取得.
↑ 「アクセス許可の仕組み」。マイクロソフト。2013年6月21日。 2017年11月24日取得。
↑ Richard Civil (2016年9月8日)。「ITの仕組み NTFSアクセス許可、パート2」。Microsoft 。 2017年11月24日取得。
↑ Richard Civil (2016年8月30日)。「ITの仕組み NTFSアクセス許可」。Microsoft 。2017年11月24日取得。
1 2 Chen, Raymond (2021 年 10 月 22 日). 「ファイル名の変更は複数のステップからなるプロセスであり、そのうちの 1 つがファイル名の変更です」。The Old New Thing。Microsoft。DELETE権限でファイルを開くと、ファイル名を変更する権限が付与されます。古い名前が削除されるため、必要な権限は DELETE です。
↑ Chen, Raymond (2019年11月18日). 「GUIとicaclsで同じACLを設定しましたが、結果が異なります」 . The Old New Thing . Microsoft .

外部リンク

SS64.comにおけるCACLSコマンドの説明
SetACL SourceForgeページ

[12] GENERIC_READ（ファイルエクスプローラーでは「読み取り」として知られています）

[13] GENERIC_EXECUTE（ファイルエクスプローラーでは「読み取りと実行」として知られています）

[14] GENERIC_WRITE（ファイルエクスプローラーでは「書き込み」として知られています）

[15] GENERIC_ALL（ファイルエクスプローラーでは「フルコントロール」として知られています）

[16] ファイルエクスプローラーでは「変更」として知られています

[1] 「セキュリティ保護可能なオブジェクト」。マイクロソフト。2008年4月24日。 2008年7月16日取得。

[2] 「セキュリティ記述子とアクセス制御リストとは？」。マイクロソフト。2008年5月5日にオリジナルからアーカイブ済み。2008年7月16日に取得。

[3] 「DACLとACE」。マイクロソフト。2008年4月24日。 2008年7月16日取得。

[4] ttps://msdn.microsoft.com/en-us/library/bb625957.aspx Windows の整合性メカニズムとは何ですか?

[5] SubInACL ホームページ

[6] FILEACL ホームページ ( 2012年8月29日にWayback Machineにアーカイブされました)

[7] "FILEACL v3.0.1.6" . Microsoft . 2004-03-23. 2008年4月16日のオリジナルからアーカイブ済み。2008-07-25に取得。

[8] "ACCESS_MASK データ型" . Microsoft . 2008-04-24 . 2008-07-23に取得.

[9] 「アクセス許可の仕組み」。マイクロソフト。2013年6月21日。 2017年11月24日取得。

[10] Richard Civil (2016年9月8日)。「ITの仕組み NTFSアクセス許可、パート2」。Microsoft 。 2017年11月24日取得。

[11] Richard Civil (2016年8月30日)。「ITの仕組み NTFSアクセス許可」。Microsoft 。2017年11月24日取得。

[Rename1-17] 1 2 Chen, Raymond (2021 年 10 月 22 日). 「ファイル名の変更は複数のステップからなるプロセスであり、そのうちの 1 つがファイル名の変更です」。The Old New Thing。Microsoft。DELETE権限でファイルを開くと、ファイル名を変更する権限が付与されます。古い名前が削除されるため、必要な権限は DELETE です。

[18] Chen, Raymond (2019年11月18日). 「GUIとicaclsで同じACLを設定しましたが、結果が異なります」 . The Old New Thing . Microsoft .

[

[ 2 ]

[ 3 ]

[ 4 ]

[ 5 ]

[ 6 ]

[ 7 ]

[ 8 ]

[ 9 ]

[ 10 ]

[ 11 ]

[ 12 ]

[ 13 ]

NTFSにおけるアクセス許可

脚注

関連項目

参考文献

外部リンク