- PR -

セキュリティグループが適用されているフォルダの確認方法について

1
投稿者投稿内容
abub
会議室デビュー日: 2004/10/19
投稿数: 4
投稿日時: 2005-02-02 14:54
こんにちは。

ActiveDirectoryで作成したセキュリティグループが、どのサーバーのどのフォルダで使用されているか調べる方法はありますでしょうか？

存在しているグループがどこで使用されているかわからず、削除できない状態です。

なにか一覧表示できるコマンドなどがあれば教えていただきたいと思います。
ご存知の方、ご教授よろしくお願いいたします。
Mattun
ぬし
会議室デビュー日: 2004/08/10
投稿数: 1391
投稿日時: 2005-02-02 15:36
引用:

ActiveDirectoryで作成したセキュリティグループが、どのサーバーのどのフォルダで使用されているか調べる方法はありますでしょうか？

フォルダだけであれば、caclsコマンドで、調査対象のサーバの全ファイルの
アクセス権をファイルか何かに書き出し、その中にそのグループが存在してるか調べる。

ただ、セキュリティグループって、共有フォルダや共有プリンタ、レジストリ、サービスや
グループポリシー等、色んなところに使われてますから、その辺をフォローするとなると、
subinaclくらいでしょうか。それでも追跡しきれない部分はありますが。

なお、ACLは、各オブジェクトに対して勝手に割り当てられる代物ですから、
対象となるマシンすべて(*)を調査する必要があるし、対象となりうるオブジェクトすべてを
調査する必要もあります。
# (*)ドメイングループだったら、そのドメインおよびそのドメインを信頼している
# ドメインのドメインコントローラおよびドメインメンバサーバすべて。
でもまあ、対象となるマシンの管理者権限は、そのドメインのドメイン管理者ユーザが
持ってるわけですから、
subinacl /file \\コンピュータ名\C$ /display > コンピュータ名_C.txt
なんて感じで一覧取得したのを、grepなどの検索プログラムでチェック、って感じの
作業をバッチ処理でやってしまえば、時間は掛かるけど手間はたいしたもんじゃ
ないとは思います。

また、グループの削除作業自体は不可逆ですが、グループへのユーザ追加と削除については
(ユーザ自身を消さない限り)可逆ですから、ある程度精査できた段階で、
削除するグループからユーザを削除し、実質利用できない状態にした上で様子見、あたりが無難じゃないかと。
abub
会議室デビュー日: 2004/10/19
投稿数: 4
投稿日時: 2005-02-02 15:51
Mattunさん

さっそくのご返信ありがとうございます！
早速試してみます。
1

スキルアップ／キャリアアップ（JOB@IT）