Windowsのcaclsコマンドが出力する内容の意味や見方を知る：Tech TIPS

連載目次

解説

・アクセス制御リストACL（Windows OS入門）
・アクセス制御リストACLとは？（TIPS）
・有効なファイル・アクセス権を調査する（TIPS）

　右の関連記事では、Windows OS（正確にはNTFS）の持つファイルのアクセス制御リスト（Access Control List、以下ACL）について解説した。これらの記事では、ACLの概要や「有効なACL」の確認方法などについて説明しているので、参考にしていただきたい。

　ACLの設定や確認には、エクスプローラの［プロパティ］ダイアログを利用するのが一般的であるが、コマンド・プロンプト上で実行したい場合もある。多数のファイルやフォルダのACLをまとめて確認したり、設定を変更したりするには、CUIのツールの方が便利だからだ。

・caclsコマンドでACLを編集する
・caclsコマンドでACLを編集する（SDDL編）

　コマンド・プロンプト上でACLの内容を確認したり、設定し直したりするには、cacls.exeというコマンドが利用できる（サポート・ツールにはxcacls.exeという、ほぼ同等の機能を持つスクリプトも用意されている）。本TIPSでは、cacls.exeコマンドの出力の見方（表示されたACLの意味）について解説する。ACLを設定／変更する方法については、右上の関連記事を参照していただきたい。

操作方法

　cacls.exeコマンドは、ファイルやフォルダに対して設定されているACLの内容を確認したり、変更したりするために利用するコマンドラインのツールである。ACLは（複数の）ACE（Access Control Entry、アクセス制御エントリ）の組み合わせで構成されているが、それらACEの内容をすべて表示させたり、ACEを追加／削除したり、既存のACEの内容を編集したりすることができる。だが、このコマンドの出力形式はやや分かりづらいので、本TIPSで解説する。

●caclsコマンドの使い方

　caclsコマンドを引数なしで実行すると、次のように使い方が表示される。

●caclsコマンドによるACLの表示

　caclsに続けて、ファイル名やフォルダ名（ワイルドカードも利用可）を指定すると、それらのACLが1ファイル／フォルダずつ表示される。

　例えば、次のようなACLが設定されたフォルダがあるとする。

あるフォルダに設定されたACLの例
これは、user01というフォルダに対して、ユーザーuser01／Administratorsグループ／Usersグループにフルコントロール、OtherGroup1にアクセス拒否、OtherGroup2に読み取り許可、などの設定を行った場合の例である。
　 （1）ここが「拒否」の場合は指定された操作やアクセスが（明示的に）禁止され、「許可」の場合は、その操作が許可される。
　 （2）対象となるグループやユーザー名。「CREATOR OWNER」は作成者という意味。
　 （3）アクセス許可。「フル コントロール」はあらゆる操作が該当する。「特殊」は、各権限を自由に組み合わせたものであり、実際の設定内容は［編集］ボタンを押すと確認できる。
　 （4）フォルダの場合は、このフォルダに設定されているACLなどを、サブフォルダへと継承させることができる。この「適用先」は、実際にどのレベルのフォルダまで継承できるかを表す。ファイルの場合はこの属性はない。

　このフォルダの内容をcaclsコマンドで出力させると、次のようになる。

caclsによるACLの表示例
これは、上の画面と同じACLを、caclsコマンドで表示させた場合の例である。このフォルダのACLには、全部で8つのACEが含まれていることが分かる（これは上のプロパティ画面のACEの数と一致している）。
　 （1）対象となるファイル名やフォルダ名。
　 （2）ACEの対象アカウント名。ユーザー名やグループ名、組み込みのシステム・アカウント名など。
　 （3）フォルダの場合は、このようにACEの適用先が「(OI)」や「(CI)」「(IO)」という文字列で表示される（「このフォルダにのみ適用」の場合は表示されない）。
　 （4）ACEの種類が「許可」の場合は何も表示されないが、「拒否」の場合はこのように「(DENY)」と表示される。
　 （5）代表的なアクセス権については「F」「R」「W」「C」などと省略形で表示されるが、そうでない場合は個別のアクセス権が次行以降に列挙される。
　 （6）列挙された個別のアクセス権。
　 （7）組み込みアカウントの例。先頭に「BUILTIN\〜」と表示される。
　 （8）フルコントロールの場合はこのように「F」と表示される。
　 （9）Everyoneアカウント。
　 （10）「R」は読み出しのみ可能という意味。
　 （11）こちらは、このフォルダに対するアクセス権。このフォルダは「BUILTIN\Users」グループからフルコントロールでアクセス可能。
　 （12）こちらは、このフォルダおよびサブフォルダなどに対するアクセス権。このフォルダ中に作成されるファイルやフォルダは、「BUILTIN\Users」グループに対して読み取りの権限を持つ。

　caclsの結果は次のようになっている。

　最初に（一番左に）表示されているのが、対象となるファイルやフォルダの名称である（（1））。この例では、C:\Folder\user01というフォルダのACLを表示させている。

　その右に表示されているのが、ACLを構成する各ACEの要素である。基本的なフォーマットは、「ACEのアカウント名:アクセス権」か、「ACEのアカウント名:ACEの適用先 アクセス権」となる。ACEは1行ずつ表示されるが、上の（6）のように、特殊なアクセス権では複数行にまたがって表示されることがある。

■アカウント名（（2））
　アカウント名は、ローカルのコンピュータ上のアカウントの場合は「コンピュータ名\アカウント名」となり、ドメイン・アカウントの場合は「ドメイン\アカウント名」となる。

■ACEの適用先（（3））
　このACEの適用先という情報は、フォルダの場合にしか存在しないものであり、先のセキュリティ画面では、（4）の「適用先」という欄に相当する。ここには「(OI)」や「(CI)」「(IO)」という文字列（およびその組み合わせ）が表示されているが、それぞれ、次のような意味を持っている。

■アクセス権
　そのファイルやフォルダに適用されるアクセス権。ただし先頭に「(DENY)」という表示が付いている場合は（（4））、その操作が拒否される。アクセス権は、実際には10個以上の個別の権限の集合であるが、代表的なものについては以下のように1文字の省略形が用意されている。

「Tech TIPS」