NTFS 権限と共有権限の違いは何ですか？
環境
- ONTAP 9
- CIFS
回答
NTFSのフォルダ/ファイルアクセス許可は、共有アクセス許可とはいくつかの点で異なります。
- 共有権限は、Common Internet File System Protocol（CIFS）共有に設定されています。
- これらはファイルサーバー上で設定され、NFSではなく、ネットワーク経由でCIFS共有にアクセスするユーザーにのみ適用されます。
- これらのアクセス許可は、CIFS Tree Connect 上で NTFS ファイルレベルのアクセス許可よりも先に評価されます。
- 共有権限は、ストレージデバイスの管理者によって設定されます。
- これらはNTFSのフォルダ/ファイルレベルのアクセス許可とは無関係です。
- これらの権限は静的なエントリであり、対応するAD ユーザーが削除されても自動的に削除されることはありません。
- ただし、MMC のような Windows 側のツールからアクセス許可を適用すると、代わりに SID の対応する値が適用されます。
- これらは、Windows側から共有フォルダのセキュリティプロパティ > 詳細設定 > 共有に移動することで確認できます。
- このビューはデバイスから AD へのルックアップを実行し、アカウントが削除された場合は SID を報告しますが、ONTAP は初期アクセス制御の作成後、CLI から解決された名前を変更しません。
- NTFSフォルダー/ファイルレベルのアクセス許可は、NetAppファイルサーバー（またはCIFS対応ストレージデバイス）に保存されている個々のファイルとフォルダーに設定されます。
- これらのアクセス許可は、フォルダー/ファイルの所有者、またはWindows管理者によって設定できます。
- これらの権限は、ユーザーまたはグループのいずれかに適用できます。
- 権限は累積的であり、アクセスを検証する際には、ユーザーレベルとグループレベルで指定された権限の両方が考慮されます。
- *最も制限の厳しい権限が適用されます。
- ユーザーがCIFS共有上のフォルダ/ファイルへのアクセスを要求すると、まず共有権限が確認されます。
- ユーザーが共有レベルのアクセス許可に基づいてアクセス権限を持っている場合、次にフォルダー/ファイルレベルのNTFSアクセス許可がチェックされます。
- ユーザーがアクセス権限を持っている場合、ファイル/フォルダのデータがユーザーに提供されます。
- NTFSのフォルダ/ファイルレベルのアクセス許可は、共有レベルのアクセス許可よりも制限的に設定するのがベストプラクティスです。