Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関するTIPS集

(1)

1 -2012 年 4 月富士通株式会社

Windows Server 2008/2008 R2

ファイルサーバ

共有フォルダーに関する TIPS 集

(2)

2

-Copyright FUJITSU LIMITED 2012 改訂履歴

改版日時版数改版内容

(3)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集目次はじめに ...5 1 共有フォルダーへアクセスするための前提知識 ...6 1.1 共有フォルダーへのアクセス許可設定について ... 6 1.2 共有フォルダーへアクセスするためのサーバ設定について ... 6 2 共有フォルダーへのアクセス ...8 2.1 共有フォルダーへアクセスできない... 8 2.1.1 クライアントから共有フォルダーへアクセスできない... 8 2.1.2 システムエラー1219 が表示されネットワークドライブの割り当てができない ... 9 2.1.3 イベント ID 3210 が記録され、ドメイン環境で共有フォルダーにアクセスできない ... 10 2.1.4 サーバ移行後も同じサーバ名でアクセスしたい ... 10 2.1.5 ドメインコントローラー停止時も共有フォルダーへアクセスしたい ... 12 2.2 想定したアクセス許可で動作しない ... 13 2.2.1 Administrators グループに所属するユーザーが共有フォルダーにアクセスできない ... 13 2.2.2 信頼関係を結んだドメインのファイルサーバにアクセスできない ... 13 2.2.3 アクセス許可が設定されていないユーザーもネットワークドライブ割り当てができてしまう ... 13 2.3 アクセス許可を操作できない/アクセス許可の操作方法 ... 14 2.3.1 [セキュリティ]タブがグレーアウト表示されてアクセス許可を設定できない ... 14 2.3.2 共有フォルダーのアクセス許可の設定が削除された ... 14 2.3.3 アクセス許可の変更に時間がかかる ... 15 2.4 コマンドによるアクセス許可の操作方法 ... 16 2.4.1 NTFS アクセス許可の設定値をコマンドで表示したい ... 16 2.4.2 NTFS アクセス許可をコマンドで一括変更したい ... 16 2.4.3 del コマンドでファイル/フォルダーを削除できない ... 17 2.5 共有フォルダーの表示 ... 18 2.5.1 共有フォルダーにファイル/フォルダーが表示されない ... 18 2.5.2 共有フォルダー内のファイルを右クリックすると表示に時間がかかる ... 18 2.5.3 フォルダーのプロパティに[共有]タブが表示されない ... 19 2.5.4 Win 2008R2 の共有フォルダーに Win 2000 ドメインユーザーの NTFS アクセス許可を追加するとユーザー名が SID 表記となる ... 19 2.5.5 Active Directory の検索を非表示にしたい ... 19 2.6 ユーザー認証 ... 20 2.6.1 ネットワークドライブ設定後にユーザー認証画面を非表示にしたい ... 20 2.6.2 ドメインユーザーでのアクセス時にユーザー認証画面を表示したい ... 20 2.6.3 WebDAV フォルダーへの再認証を要求させたい ... 20 3 監査 ... 21 3.1 共有フォルダーへのアクセスを監視したい ... 21

(4)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集

-4-Copyright FUJITSU LIMITED 2012

3.2 ファイルサーバのローカルフォルダーへのアクセスを監査したい ... 22 3.3 セキュリティイベントログにイベント ID 5159 失敗の監査が大量に記録された ... 23 3.4 セキュリティイベントログにイベント ID：5156 成功の監査が大量に記録された ... 23 4 移行 ... 25 4.1 共有フォルダーの移行 ... 25 4.1.1 Robocopy でコピーした共有フォルダーの NTFS アクセス許可に不明なアカウントが表示される ... 25 4.1.2 別ドメインへ移動したファイルサーバに認証画面を表示させずに行わずアクセスしたい 25 4.1.3 ldifde コマンドに-u オプションを付けても日本語が文字化けする... 26 4.2 Robocopy コマンド ... 26 4.2.1 ファイルの NTFS アクセス許可をコピーしたい ... 26 4.2.2 更新されたファイル/フォルダーのみコピーしたい ... 27 4.2.3 アクセス許可のないファイルをコピーしたい ... 27 4.2.4 コピーしたファイル/フォルダーの圧縮属性を確認したい ... 28 4.2.5 コピーしたファイル/フォルダーがエクスプローラーで表示されない ... 28 4.2.6 共有アクセス許可をコピーしたい ... 28 4.2.7 Robocopy コマンドの正常終了を確認したい ... 29 付録 ... 30

(5)

はじめに

本書は Microsoft Windows Server 2008/Windows Server 2008 R2 をファイルサーバとして利用する環境を中心に、富士通サポート部門に寄せられたアクセスに関するよくあるトラブル、質疑応答について紹介しています。

本書は、Windows Server の基礎知識を保有するファイルサーバ管理者を読者対象としています。本書では、以下の略称を使用することがあります。

正式名称略称

Microsoft® Windows® 2000 Server

Microsoft® Windows® 2000 Advanced Server

Win2000

Microsoft® Windows Server® 2003 Standard Edition Microsoft® Windows Server® 2003 Enterprise Edition Microsoft® Windows Server® 2003 Datacenter Edition

Win2003

Microsoft® Windows Server® 2003 R2 Standard Edition Microsoft® Windows Server® 2003 R2 Enterprise Edition Microsoft® Windows Server® 2003 R2 Datacenter Edition

Win2003R2

Microsoft® Windows Server® 2008 Standard Microsoft® Windows Server® 2008 Enterprise Microsoft® Windows Server® 2008 Datacenter

Win2008

Microsoft® Windows Server® 2008 R2 Standard Microsoft® Windows Server® 2008 R2 Enterprise Microsoft® Windows Server® 2008 R2 Datacenter

Win2008R2

Microsoft® Windows® XP Professional Edition Microsoft® Windows® XP Professional x64 Edition

WinXP

Windows Vista® Business Windows Vista® Enterprise Windows Vista® Ultimate

WinVista

Windows® 7 Ultimate Windows® 7 Professional Windows® 7 Home Premium

Win7

●本書の内容は、改善のため事前連絡なしに変更することがあります。

●本書に記載されたデータの使用に起因する、第三者の特許権およびその他の権利の侵害については、当社はその責を負いません。

Microsoft, Windows, Windows Server は、Microsoft Corporation の米国及びその他の国における登録商標または商標です。

(6)

6

-Copyright FUJITSU LIMITED 2012

1 共有フォルダーへアクセスするための前提知識

1.1 共有フォルダーへのアクセス許可設定について

クライアントから Win2008/Win2008R2 共有フォルダーへネットワーク経由でアクセスするためには、共有アクセス許可と NTFS アクセス許可を適切に設定する必要があります。どちらか一方でも不適切なアクセス許可が設定されているとユーザーは共有フォルダーへアクセスできません。クライアントから共有フォルダーへアクセスできない場合には、最初に共有アクセス許可と NTFS アクセス許可が適切に設定されていることを確認してください。共有アクセス許可と NTFS アクセス許可の詳細は以下を参照してください。参考：ファイルサーバーの共有アクセス許可と NTFS アクセス許可 http://technet.microsoft.com/ja-jp/library/cc754178(WS.10).aspx

1.2 共有フォルダーへアクセスするためのサーバ設定について

共有アクセス許可と NTFS アクセス許可が適切に設定されているにもかかわらず、クライアントからネットワーク経由でアクセスできない場合には、共有フォルダーが存在する Win2008/Win2008R2 で以下の設定を確認してください。  Server サービスと Workstation サービスサービスのスタートアップの種類が自動に設定され、サービスが開始されていることを確認します。Workstation サービスはファイルサーバ上でも開始している必要があります。これらのサービスを停止するとクライアントはネットワークパスを見つけられません。既定ではどちらのサービスのスタートアップの種類も自動に設定されており、サービスは開始されています。  ネットワークアダプタネットワークアダプタのプロパティで、以下の項目にチェックが入っていることを確認します。・ Microsoft ネットワーク用ファイルとプリンター共有・ Microsoft ネットワーク用クライアント Microsoft ネットワーク用クライアントはファイルサーバ上でもチェックが入っている必要があります。これらの項目のチェックが外れているとクライアントはネットワークパスを見つけられません。既定ではこれらの項目にはチェックが入っています。

(7)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集  Windows ファイアウォール [セキュリティが強化された Windows ファイアウォール]の[受信の規則]において、規則の種類「事前定義」で”ファイルとプリンターの共有”の項目全てが許可されていることを確認します。これらの項目が拒否されているとクライアントはネットワークパスを見つけられません。既定ではこれらの項目は許可されています。  ネットワークと共有センター “ファイルとプリンターの共有”が有効に設定されていることを確認します。無効に設定されていてもクライアントから共有フォルダーへアクセスできますが、クライアントからファイルサーバへの ping 応答は失敗します。既定ではこの項目は有効に設定されています。本書では上記項目が全て設定されている状態でのトラブルや質疑応答について紹介しています。また、[回答/対策]に記されている操作・手順は、断りのない限りサーバやクライアントの管理者権限を持つユーザーで実行してください。

(8)

8

2 共有フォルダーへのアクセス

2.1 共有フォルダーへアクセスできない

2.1.1 クライアントから共有フォルダーへアクセスできない

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問クライアント OS の違いにより、ファイルサーバの共有フォルダーにアクセスできるクライアントとアクセスできないクライアントがあります。対処方法を教えてください。回答クライアントとファイルサーバ間で、セキュリティポリシーの LAN Manager 認証レベルが異なっている可能性があります。クライアント/ファイルサーバの LAN Manager 認証の種類を調べて、 LAN Manager 認証の種類を一致させてください。クライアント/ファイルサーバの LAN Manager 認証レベルは、以下のグループポリシー/ローカルグループポリシーで設定できます。 [コンピューターの構成]-[Windows の設定]-[セキュリティの設定]- [ローカルポリシー]-[セキュリティオプション]- [ネットワークセキュリティ: LAN Manager 認証レベル] LAN Manager 認証は、3 種類の認証（LM 認証/NTLM 認証/NTLMv2 認証）があります。どの認証を許可するのか拒否するのかの組合せを、LAN Manager 認証レベルで選択できます。 LAN Manager 認証レベルは以下の６種類のレベルがあります。

LAN Manager 認証レベル利用できる LAN Manager 認証レベルクライアントファイルサーバ LM と NTLM 応答を送信する LM NTLM - LM NTLM NTLMv2 LM と NTLM を送信する LM NTLM NTLMv2 LM NTLM NTLMv2 NTLM 応答のみを送信する - NTLM NTLMv2 LM NTLM NTLMv2 NTLMv2 応答のみを送信する - - NTLMv2 LM NTLM NTLMv2

(9)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集 NTLMv2 応答のみ送信（LM を拒否する） - NTLMv2 NTLM NTLMv2 NTLMv2 応答のみ送信(LM と NTLM を拒否する) NTLMv2 NTLMv2 例えば、クライアントの設定が「LM と NTLM 応答を送信する」に、ファイルサーバの設定が「NTLMv2 応答のみ送信する(LM と NTLM を拒否する)」になっていると、クライアントは NTLMv2 を利用しないため、ファイルサーバにアクセスできません。ファイルサーバでクライアントの LAN Manager 認証レベルを合わせる場合は、LM もしくは NTLM で応答できる「NTLMv2 応答のみ送信(LM と NTLM を拒否する)」以外に設定してください。参考：ネットワークセキュリティ：LAN Manager 認証レベル http://technet.microsoft.com/ja-jp/library/cc738867(WS.10).aspx

参考：OS の LAN Manager 認証レベルの既定値は以下のとおりです。 OS の種類 LAN Manager 認証レベルの既定値 Win2000/ WinXP LM と NTLM 応答を送信する Win2003/ Win2003R2 NTLM 応答のみ送信する Win2008/ Win2008R2/ WinVista/ Win7 NTLMv2 応答のみ送信する参考：セキュリティ設定およびユーザー権利の割り当てを変更すると、クライアント、サービス、およびプログラムの互換性がなくなる http://support.microsoft.com/kb/823659/ 2.1.2 システムエラー1219 が表示されネットワークドライブの割り当てができない

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問クライアントから NET USE コマンドを使用してファイルサーバの共有フォルダーにネットワーク

ドライブを割り当てたいのですが、システムエラー1219 が表示されて失敗します。対処方法を教えてください。

回答単一セッションにおいて、複数ユーザーで同じサーバ上の共有フォルダーや共有ドライブにアクセスした可能性があります。例えば、ログオンユーザーがエクスプローラーで共有フォル

(10)

-10-Copyright FUJITSU LIMITED 2012 ダーを表示している時に、異なるユーザーで NET USE コマンドでネットワークドライブ割り当てを行うと、システムエラー1219 が発生します。 NET USE コマンドを使用する際に、ファイルサーバ名ではなく IP アドレスを指定すれば回避することができます。参考：[NT]単一セッション内での複数ユーザーアカウントの利用 http://support.microsoft.com/kb/173199/ 2.1.3 イベント ID 3210 が記録され、ドメイン環境で共有フォルダーにアクセスできない 対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問ドメインに参加しているクライアントからファイルサーバの共有フォルダーにアクセスできません。ファイルサーバのシステムイベントログには「イベント ID：3210、ソース：NETLOGON」のログが記録されています。対処方法を教えてください。回答ドメインに参加しているサーバ/クライアントは、ドメインコントローラーに対して独立した通信チャネルを使用しています。これをセキュアチャネルと呼びます。セキュアチャネルが破損すると通信が正常に行われません。イベント ID 3210 の記録はセキュアチャネルの破損が原因である可能性が高いため、イベント ID 3210 が記録されたコンピュータのドメイン再参加または netdom コマンドによるパスワードのリセットを行ってください。

参考：Netdom.exe を使用して Windows Server ドメインコントローラーのコンピュータアカウントのパスワードをリセットする方法

http://support.microsoft.com/kb/325850/ 参考：Windows のコンピュータアカウントのリセット http://support.microsoft.com/kb/216393/

2.1.4 サーバ移行後も同じサーバ名でアクセスしたい

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問ファイルサーバを移行します。移行先のサーバは既に運用中のためサーバ名を変更できません。従来のファイルサーバ名でアクセスする方法を教えてください。回答 DNS サーバへエイリアス(CNAME)を登録することで可能になります。データの移行が完了したら、以下の以下の手順を実施してください。【既存ファイルサーバの操作】 1. ファイルサーバをドメインから外して停止します。

(11)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集【新ファイルサーバの操作】 2. 新ファイルサーバをドメインに参加させます。【DNS サーバへの設定】 3. DNS マネージャーで既存ファイルサーバに対するレコードを全て削除します。 4. DNS マネージャーで Active Directory のドメイン名を選択後、右クリックして[新しいエイリアス(CNAME)]を選択します。 5. 新しいリソースレコードの登録画面で以下を指定します。エイリアス名：既存ファイルサーバのサーバ名[例：serverA] ターゲットホスト用の完全修飾ドメイン名(FQDN)：新ファイルサーバの FQDN を入力します [例：serverB.test.local] [同じ名前の DNS レコードすべての更新を認証されたユーザーに許可する]はチェックをしません。 6. [OK]をクリックします。参照：チェックリスト：エイリアス(CNAME)リソースレコードを作成する http://technet.microsoft.com/ja-jp/library/cc732711.aspx 【新ファイルサーバへの設定】 WinXP/WinVista(1_{)から新ファイルサーバへアクセスする場合は新ファイルサーバで以下を設} 定する必要があります。 7. レジストリエディタ（Regedit.exe）を起動します。編集メニューから、新規キーを追加します。場所：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\ Parameters 値の名前: DisableStrictNameChecking データ型: REG_DWORD 値: 1

参考：Connecting to SMB share on a Windows 2000-based computer or a Windows Server 2003-based computer may not work with an alias name

http://support.microsoft.com/kb/281308/en-us

8. レジストリエディタを終了します。

【クライアントの操作】

(12)

-12-Copyright FUJITSU LIMITED 2012 9. 再起動します。

2.1.5 ドメインコントローラー停止時も共有フォルダーへアクセスしたい

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問ドメイン環境において、ドメインコントローラー停止時もファイルサーバの共有フォルダーにクライアントからアクセスする方法を教えてください。回答ドメインのユーザーアカウントでアクセスすることはできませんが、ファイルサーバのローカルユーザーアカウントでアクセスすることはできます。共有フォルダーのアクセス許可にファイルサーバのローカルユーザーアカウントを付与した後、ファイルサーバのローカルユーザーアカウントでアクセスしてください。

(13)

2.2 想定したアクセス許可で動作しない

2.2.1 Administrators グループに所属するユーザーが共有フォルダーにアクセスできない 対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問 Administrators グループへのアクセス許可が設定されているにもかかわらず、クライアントから Administrators グループに所属するユーザーで共有フォルダーにアクセスすると「アクセスが拒否されました」と表示されてアクセスできません。対処方法を教えてください。回答ファイルサーバでユーザーアカウント制御 (UAC)が有効となっている場合、Administrators グループのみにアクセスが許可された共有フォルダーにアクセスすると Administrators グループに所属したユーザーであっても、ビルトイン Administrator 以外のユーザーではアクセスが拒否されます。これはの既定の動作です。以下のいずれかの方法でアクセスできるようになります。  アクセスしたいユーザー毎に個別にアクセス許可を設定する Administraotrs グループではなく、所属するユーザーに共有アクセス許可と NTFS アクセス許可を設定することで、該当ユーザーがアクセス可能となります。  Win2008/Win2008R2 ファイルサーバの UAC を無効化する設定手順は以下のとおりです。 1. グループポリシーまたはローカルグループポリシーを起動します。 2. 以下のポリシーを”無効”に設定します。 [コンピューターの構成]-[ポリシー]-[Windows の設定]-[セキュリティの設定] -[ローカルポリシー]-[セキュリティオプション] -[ユーザーアカウント制御：管理者承認モードですべての管理者を実行する] 3. Win2008/Win2008R2 を再起動します。 2.2.2 信頼関係を結んだドメインのファイルサーバにアクセスできない

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問 2 つのドメイン間で双方向の信頼関係を結んでいますが、一方のドメインに参加しているファイルサーバの共有フォルダーへ、別ドメインに所属するユーザーがアクセスできません。対処方法を教えてください。回答信頼関係を結ぶだけではアクセスできません。信頼関係を結んだ環境でも、ファイルサーバの共有アクセス許可と NTFS アクセス許可に適切なアクセス許可を設定してください。 2.2.3 アクセス許可が設定されていないユーザーもネットワークドライブ割り当てができてしまう 対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問アクセス許可のないユーザーもファイルサーバの共有フォルダーにネットワークドライブの割り

当てができてしまいます。ネットワークドライブの割り当てを禁止する方法を教えてください。回答禁止する方法はありません。これは既定の動作です。ネットワークドライブとして割り当てでき

(14)

-14-Copyright FUJITSU LIMITED 2012 ても、アクセスは出来ません。

2.3 アクセス許可を操作できない/アクセス許可の操作方法

2.3.1 [セキュリティ]タブがグレーアウト表示されてアクセス許可を設定できない

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問ファイルサーバの共有フォルダーの配下にフォルダーがあります。このフォルダーに対してクライアントからファイルサーバへアクセスする際、NTFS アクセス許可が変更に設定されているユーザーであっても NTFS アクセス許可の編集ができません。対処方法を教えてください。回答該当フォルダーに NTFS アクセス許可が変更に設定されているだけでは編集できません。上位フォルダーの共有アクセス許可にフルコントロール権限が必要です。なお、既定では、ワークグループの WinXP は[セキュリティ]タブは表示されません。[セキュリティ]タブを表示するには、Ctrl キーを押しながら対象のフォルダーを右クリックして[プロパティ] をクリックしてください。参考：ワークグループにインストールされている Windows XP でセキュリティを設定する方法 http://support.microsoft.com/kb/290403/ja 2.3.2 共有フォルダーのアクセス許可の設定が削除された 対象OS ファイルサーバ: Win2008/Win2008R2 質問共有ウィザードを利用して、共有フォルダーの共有設定と[セキュリティ]タブの設定を確認したところ、以前に設定したアクセス許可が削除されていました。対処方法を教えてください。回答ファイルサーバでユーザーアカウント制御 (UAC) が有効になっている状態で、共有ウィザードを利用すると、共有フォルダーのアクセス許可を正しく読み取れないことがあります。この状態でアクセス許可を再設定すると、正しく読み取ることができなかったアクセス許可は削除されます。フォルダーのプロパティの[セキュリティ]タブからアクセス許可を設定する場合は、この問題は発生しないので、共有ウィザードではなくこの方法を利用するか、UAC を無効にしてから共有ウィザードを使用してください。参考：共有ウィザードを利用してアクセス許可を設定するとアクセス許可が消失することがある http://support.microsoft.com/kb/2561032/

(15)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集 2.3.3 アクセス許可の変更に時間がかかる 対象OS ファイルサーバ: Win2008/Win2008R2 質問フォルダーのアクセス許可を変更した際、適用処理が完了するまでに時間がかかります。原因を教えてください。回答目的のフォルダー配下に存在するファイル/フォルダーの設定が、上位フォルダーからアクセス許可を継承するようになっている場合、目的のフォルダーのアクセス許可を変更するだけで配下のファイル/フォルダーの設定も変更されます。そのため、アクセス許可の適用処理は配下のファイル/フォルダー数に応じた時間がかかります。これは既定の動作です。

(16)

2.4 コマンドによるアクセス許可の操作方法

2.4.1 NTFS アクセス許可の設定値をコマンドで表示したい 対象OS ファイルサーバ: Win2008/Win2008R2 質問ファイルサーバのファイル/フォルダー毎の NTFS アクセス許可をコマンドで一覧表示する方法を教えてください。回答 icacls コマンドを使用して NTFS アクセス許可の一覧を表示できます。以下に使用例を示します。例）d:\folder1 配下の全てのファイル/フォルダーについて、アクセス許可の一覧を e:\tmp.txt ファイルに出力する。

icacls d:\folder1 /T /C > e:\tmp.txt

詳細は、icacls コマンドのヘルプを参照してください。 2.4.2 NTFS アクセス許可をコマンドで一括変更したい 対象OS ファイルサーバ: Win2008/Win2008R2 質問ファイルサーバのファイル/フォルダーの NTFS アクセス許可をコマンドで一括変更する方法を教えてください。回答 icacls コマンドを使用して NTFS アクセス許可の一括変更ができます。以下に使用例を示します。例）c:\folder1 配下に存在する全てのフォルダーに、既存のアクセス許可を残したまま、user1 に対してアクセス許可のフルコントロールを追加する。

icacls c:\folder1 /grant user1:F /T /C

詳細は、icacls コマンドのヘルプを参照してください。

なお、icacls コマンドで操作したアクセス許可は特殊なアクセス許可として編集されます。

参考：特殊なアクセス許可を設定、表示、変更、または削除する http://technet.microsoft.com/ja-jp/library/cc772196.aspx

(17)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集 2.4.3 del コマンドでファイル/フォルダーを削除できない 対象OS ファイルサーバ: Win2008/Win2008R2 質問ドメインから除外したユーザーが使用していたファイル/フォルダーを del コマンドで削除しようとすると、ファイルサーバの Administrators グループに所属しているのにもかかわらず、「’<del コマンドで指定したファイル/フォルダー>’が見つかりませんでした」と表示されて削除できません。Administrators グループは、削除するファイル/フォルダーの所有権のみ所持しています。削除方法を教えてください。回答 Administrators グループに所属しているユーザーであっても、所有者のみが付与されているだけでは、ファイル/フォルダーを見つけることができず、アクセスに失敗します。 del コマンドを実行するユーザーに対して、ファイル/フォルダーへの NTFS アクセス許可の変更を付与してから del コマンドを実行してください。

(18)

2.5 共有フォルダーの表示

2.5.1 共有フォルダーにファイル/フォルダーが表示されない

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問ファイルサーバの共有フォルダーにクライアントからアクセスすると、適切なアクセス許可が設定されているにもかかわらず、表示されないファイル/フォルダーがあります。全てのファイル/ フォルダーを表示する方法を教えてください。回答ファイルサーバで「アクセスベースの列挙」が有効に設定されていると、ユーザー毎個別に読み取りアクセス許可が許可されていないフォルダーとファイルは表示されません。「アクセスベースの列挙」を無効に設定してください。なお、「アクセスベースの列挙」の既定値は無効に設定されています。【アクセスベースの列挙の無効方法】 1. サーバーマネージャーを起動します。 2. 左側ペインの[役割]-[ファイルサービス]-[共有と記憶域の管理]をクリックします。 3. 共有フォルダーの一覧から[アクセスベースの列挙]を無効にする共有フォルダーを選択して右クリックします。 4. [プロパティ]をクリックします。 5. [共有]タブで[詳細設定]をクリックします。 6. [アクセスベースの列挙を有効にする]チェックボックスを外します。 7. [OK]をクリックし、プロパティ画面を閉じます。参考：共有フォルダーのアクセス許可を管理する http://technet.microsoft.com/ja-jp/library/cc753731%28WS.10%29.aspx 2.5.2 共有フォルダー内のファイルを右クリックすると表示に時間がかかる

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: Win XP

質問ファイルサーバの共有フォルダーにあるファイルを、Win XP クライアントから右クリックすると表示に時間がかかったり無応答となります。対処方法を教えてください。

回答 Win XP クライアントで WebClient サービスが動作していると、サーバへのアクセス時に WebDAV アクセスを試行するため、共有フォルダーのアクセスに時間がかかる可能性があります。 WebClient サービスを停止するとともに、スタートアップの種類を手動に設定してください。

参考：Windows XP を実行するコンピュータでドメインにログオンするとき、またはネットワークリソースにアクセスするときに、時間がかかる

(19)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集 2.5.3 フォルダーのプロパティに[共有]タブが表示されない 対象OS クライアント: WinXP 質問ドメインユーザーで Win XP クライアントにログオンしたところ、フォルダーのプロパティに[共有] タブが表示されず、共有設定が行えません。対処方法を教えてください。回答 Win XP の Users グループに所属するユーザーは、ファイル共有を行う権限がないため[共有]タブも表示されません。Win XP にログオンするドメインユーザーを、Win XP の Administrators グループまたは Power Users グループに追加してください。

2.5.4 Win 2008R2 の共有フォルダーに Win 2000 ドメインユーザーの NTFS アクセス許可を追加す るとユーザー名が SID 表記となる

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: Win7

質問 Win2000 ドメインと Win 2008R2 ドメインで双方向の信頼関係を結んでいます。Win2008R2 ドメインに所属するファイルサーバの共有フォルダーに、Win 2000 ドメインのアカウントに対する NTFS アクセス許可/共有アクセス許可を追加するとユーザー名が SID 表記となります。対処方法を教えてください。

回答本現象は、“Windows Server 2008 R2 にて SID 解決する際に呼ばれる LookupAccountSID や LookupAccountName という関数に問題がある”という Microsoft 技術情報に該当する可能性があります。この場合、Win 2008R2 のドメインコントローラーへ KB976494 を適用することで本現象を回避できます。詳細は、以下を参照してください。

参考：Error 1789 when you use the LookupAccountName function on an computer that is running Windows 7 or Windows Server 2008 R2

2.5.5 Active Directory の検索を非表示にしたい

対象OS クライアント: WinXP/WinVista/Win7

質問管理者グループに所属するユーザー以外には Active Directory 内を検索させたくありません。ネットワークの「Active Directory の検索」を非表示にする方法を教えてください。

回答「Active Directory の検索」機能を非表示にすることはできません。Active Directory のユーザーまたはコンピュータを検索出来ないように設定することも出来ません。なお、プリンターの検索に関しては、表示させない方法があります。

プリンターの非表示については以下を参照してください。

参考：Active Directory ドメインサービスでプリンターを表示または削除する http://technet.microsoft.com/ja-jp/library/cc771349.aspx

(20)

2.6 ユーザー認証

2.6.1 ネットワークドライブ設定後にユーザー認証画面を非表示にしたい

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問ワークグループのクライアントからファイルサーバの共有フォルダーへ、ネットワークドライブを設定後、再起動やログオフするとユーザー認証画面が表示されます。ユーザー認証画面を非表示にする方法を教えてください。回答共有フォルダーアクセス時のユーザー認証画面で、WinXP の場合は[パスワードを記憶する]、 WinVista/Win7 の場合は[資格認証を記憶する] のチェックボックスを付けて[OK]をクリックしてください。また、クライアントのスタートアップにバッチファイルを登録し、そのバッチファイルに net use コマンドを記述する方法もあります。ログオン時にユーザー認証済みで共有フォルダーにアクセスされた状態となるため、ユーザー認証画面は表示されなくなります。コマンド例)

net use \\Server1\Folder1 /user:Server1\User001 P@ssw0d

詳細は、net use コマンドのヘルプを参照してください。

2.6.2 ドメインユーザーでのアクセス時にユーザー認証画面を表示したい

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問ドメインユーザーが共有フォルダーへアクセスする場合、アクセス許可されていても必ずユーザー認証画面を表示させたいと考えています。対処方法を教えてください。回答ドメインユーザーがアクセス許可されている共有フォルダーへアクセスする場合、ユーザー認証画面を表示させる事はできません。これは既定の動作です。どの環境からアクセスしてもユーザー認証画面を表示させたい場合には、共有フォルダーをドメイン外に配置してください。 2.6.3 WebDAV フォルダーへの再認証を要求させたい

対象OS ファイルサーバ: Win2008R2 クライアント: WinXP/WinVista/Win7 質問 IIS 7.5 で WebDAV 機能を有効化した共有フォルダーへクライアントからアクセスする場合、一定時間通信がなければユーザー認証画面を表示させたいと考えています。対処方法を教えてください。回答ログオンセッション中はユーザー名とパスワードのアクセス情報が保持されているため、一定時間通信がない場合に再度認証を要求させることはできません。参考：格納されたユーザー名とパスワード資格情報はログオンセッション中保存される http://support.microsoft.com/kb/281249/ja

(21)

21

-3 監査

3.1 共有フォルダーへのアクセスを監視したい

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問クライアントからファイルサーバの共有フォルダーへアクセスしたユーザーを確認する方法を教えてください。回答ファイルサーバに監査ポリシーを設定の上、イベントログを確認してください。【監査ポリシーの設定方法】 1. グループポリシーまたはローカルグループポリシーを起動します。 2. 以下のポリシーで“成功”“失敗”をチェックします。 [コンピューターの構成]-[セキュリティの設定]-[ローカルポリシー]-[監査ポリシー]-[オブジェクトアクセスの監査] 【監査ポリシーの確認方法】 1. イベントビューアーを起動します。 2. セキュリティイベントログで以下のイベントを確認します。アクセスしたユーザーは、“サブジェクト：セキュリティ ID”に、コンピュータ名\ユーザー名または、ドメイン名\ユーザー名が記録されています。・NTFS アクセス許可で許可されたユーザーが共有フォルダーへアクセスした場合イベント ID:5140 キーワード:成功の監査タスクのカテゴリ:ファイル共有説明:ネットワーク共有オブジェクトにアクセスしました。・NTFS アクセス許可で許可されたユーザーが共有フォルダーのファイル/フォルダーを操作した場合イベント ID:5145 キーワード:成功の監査タスクのカテゴリ:詳細なファイル共有説明:クライアントに必要なアクセスを不要できるかどうかについて、ネットワーク共有オブジェクトがチェックされました。

(22)

3.2 ファイルサーバのローカルフォルダーへのアクセスを監査したい

対象OS ファイルサーバ: Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問ファイルサーバへローカルログオンしてフォルダーへのアクセスしたユーザーを確認する方法を教えてください。回答ファイルサーバに監査ポリシーを設定の上、イベントログを確認してください。【監査ポリシーの設定方法】 1. グループポリシーまたはローカルグループポリシーを起動します。 2. 以下のポリシーで、[オブジェクトアクセスの監査]に“成功”“失敗”をチェックします。 [コンピューターの構成]-[セキュリティの設定]-[ローカルポリシー]-[監査ポリシー]- [オブジェクトアクセスの監査] 【監査エントリの設定方法】 1. エクスプローラーを起動します。 2. 監査したいフォルダーの[セキュリティ]タブで、監査エントリを設定します。【監査ポリシーの確認方法】 1. イベントビューアーを起動します。 2. セキュリティイベントログで以下のイベントを確認します。アクセスしたユーザーは、“サブジェクト：セキュリティ ID”に、コンピュータ名\ユーザー名または、ドメイン名\ユーザー名が記録されています。・ファイルサーバへローカルログオンし NTFS アクセス許可で拒否されたユーザーでアクセスした場合イベント ID:4656 タスクのカテゴリ: ファイルシステムキーワード:失敗の監査説明:オブジェクトに対するハンドルが要求されました。・ファイルサーバへローカルログオンし NTFS アクセス許可で許可されたユーザーでアクセスした場合イベント ID:4656 タスクのカテゴリ:ファイルシステムキーワード:成功の監査説明:オブジェクトに対するハンドルが要求されました。

(23)

3.3 セキュリティイベントログにイベント ID 5159 失敗の監査が大量に記録された

対象OS ファイルサーバ: Win2008 質問 Win2008 ファイルサーバのセキュリティイベントログに「イベント ID：5159、キーワード：失敗の監査、説明：Windows フィルタリングプラットフォームで、ローカルポートへのバインドがブロックされました」のセキュリティイベントログが大量に記録されました。対処方法を教えてください。回答 Windows の障害です。Windows ファイアウォールが無効な環境で、オブジェクトアクセスの監査ポリシーを有効にした場合、イベント ID 5159 が大量に記録されます。マイクロソフト社が提供している修正プログラムを適用してください。修正プログラムの適用の詳細に関しては、以下を参照してください。

参考：Many 5159 events are logged in the Security event log after you disable Windows Firewall and enable the “Filtering Platform Connection” auditing policy

3.4 セキュリティイベントログにイベント ID：5156 成功の監査が大量に記録された

対象OS ファイルサーバ: Win2008/Win2008R2 質問ファイルサーバのセキュリティイベントログに「イベント ID：5156、キーワード：成功の監査、説明：Windows フィルタリングプラットフォームで、接続が許可されました」などのセキュリティイベントログが大量に記録されました。対処方法を教えてください。回答大量にセキュリティイベントログが記録されたのは、Win2008 から追加された「Windows フィルタリングプラットフォーム」に関する監査のイベントが有効に設定されていたためです。記録されないようにするには、以下の手順で、「Windows フィルタリングプラットフォーム」に関する監査のイベントを無効に設定してください。【Win 2008 の場合】 1. グループポリシーまたはローカルグループポリシーを起動します。 2. 以下のポリシーで、[オブジェクトアクセスの監査]と[プロセス追跡の監査]のチェックを外します。・ [コンピューターの構成]-[セキュリティの設定]-[ローカルポリシー]-[監査ポリシー]- [オブジェクトアクセスの監査] ・ [コンピューターの構成]-[セキュリティの設定]-[ローカルポリシー]-[監査ポリシー]- [プロセス追跡の監査] 【Win2008R2 の場合】 1. グループポリシーまたはローカルグループポリシーを起動します。 2. 以下のポリシーで、[フィルタリングプラットフォームの接続の監査]のチェックを外します。 [コンピューターの構成]-[セキュリティの設定]-[監査ポリシーの詳細な構成]-

(24)

[フィルタリングプラットフォームの接続の監査]

参考：Windows フィルタリングプラットフォーム

(25)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集 25

-4 移行

4.1 共有フォルダーの移行

4.1.1 Robocopy でコピーした共有フォルダーの NTFS アクセス許可に不明なアカウントが表示さ れる対象OS ファイルサーバ: Win2008/Win2008R2 質問ドメインに参加してるファイルサーバのフォルダーを Robocopy コマンドでワークグループ環境の共有フォルダーへコピーしたところ、コピー先のフォルダーに NTFS アクセス許可に不明なアカウントとして表示されているユーザーがあります。原因を教えてください。回答不明なアカウントと表示されているユーザーはドメインユーザーです。移行先で認識されないユーザーのため NTFS アクセス許可が SID 表示となります。これは既定の動作です。 4.1.2 別ドメインへ移動したファイルサーバに認証画面を表示させずに行わずアクセスしたい 対象OS ファイルサーバ: Win2000/Win2008/Win2008R2 クライアント: WinXP/WinVista/Win7 質問 Win2000 ドメインに参加していたファイルサーバを Win2008/Win2008R2 ドメインへ移動しました。Win2000 ドメインユーザーが移動したファイルサーバにユーザー認証画面を表示させずにアクセスする方法を教えてください。回答 Win2000 ドメインと Win2008/Win2008R2 ドメイン間の信頼関係を結び、共有アクセス許可と NTFS アクセス許可に適切なアクセス許可を設定してください。Win2008/Win2008R2 ドメインのファイルサーバに Win 2000 ドメインユーザーの NTFS アクセス許可を設定する場合は、留意点があります。『2.5.4Win 2008R2 の共有フォルダーに Win 2000 ドメインユーザーの NTFS アクセス許可を追加するとユーザー名が SID 表記となる』を参照してください。

Win2000 ドメインと Win2008/Win2008R2 ドメイン間の信頼関係が結べない場合は、Win2000 ドメインで利用しているユーザー名とパスワードが同じユーザーをファイルサーバに作成することで、ユーザー認証画面を表示させずにファイルサーバへアクセス可能となります。

(26)

-26-Copyright FUJITSU LIMITED 2012 4.1.3 ldifde コマンドに-u オプションを付けても日本語が文字化けする 対象OS ファイルサーバ: Win2008/Win2008R2 質問ドメインに参加しているファイルサーバを別ドメインへ移行します。共有フォルダーに設定されているオブジェクト情報も別ドメインへ移行したいため、ldifde コマンドに-u オプションを付けてファイルにエクスポートしたところ日本語が文字化けしました。原因を教えてください。回答日本語は文字化けしたのではなく Base64 形式で出力されているだけです。出力されたファイルをインポートしても問題はありません。参考：Ldifde http://technet.microsoft.com/ja-jp/library/cc730865(WS.10).aspx

4.2 Robocopy コマンド

4.2.1 ファイルの NTFS アクセス許可をコピーしたい 対象OS ファイルサーバ: Win2008/Win2008R2 質問 Robocopy コマンドを使用してファイル/フォルダーのコピーを行ったのにもかかわらず、NTFS アクセス許可がコピーされないファイル/フォルダーがあります。対処方法を教えてください。回答アクセス許可をコピーするためには、/ copyall オプションをつけて実行することが必要ですが、 / copyall オプションを指定しても上位フォルダーより継承されたアクセス許可はコピーされません。コピー先でアクセス許可の再設定を行ってください。コピー先で再設定を行いたくない場合は、明示的にアクセス許可を設定している上位フォルダーも含めてコピーを行うか、コピー元のフォルダーの継承を取り消してフォルダーに対してアクセス許可を設定してからコピーを行ってください。また、コピー先に同名ファイルが既に存在してアクセス許可のみが違う場合、コピー処理がスキップされて、結果、アクセス許可が付与されないことになります。この場合は、引数に新たに /is オプションを指定してください。/is オプションにより必ず上書きコピーを行うため、コピー元のアクセス許可がコピー先のファイルに付与されます。オプションの詳細は以下を参照してください。参考：Robocopy http://technet.microsoft.com/ja-jp/library/cc733145(WS.10).aspx

(27)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集 4.2.2 更新されたファイル/フォルダーのみコピーしたい 対象OS ファイルサーバ: Win2008/Win2008R2 質問別のサーバへファイル/フォルダーをコピーしたいと考えています。新規に追加されたファイル/ フォルダーと更新のあるファイルのみを Robocopy コマンドでコピーする方法を教えてください。回答 /xo /e オプションを付けて実行してください。以下に設定例を記載します。 Robocopy コピー元コピー先 /xo /e /zb パラメタの意味は以下のとおりです。コピー元：コピー元ディレクトリ(ドライブ:\パスまたは \\サーバ\共有\パス) コピー先：コピー先ディレクトリ(ドライブ:\パスまたは \\サーバ\共有\パス) /xo：古いファイルを除外します /e：空のディレクトリを含むサブディレクトリをコピーします /zb：アクセスが拒否された場合、バックアップモードを使用します。オプションの詳細は以下を参照してください。参考：Robocopy http://technet.microsoft.com/ja-jp/library/cc733145(WS.10).aspx 4.2.3 アクセス許可のないファイルをコピーしたい 対象OS ファイルサーバ: Win2008/Win2008R2 質問 Robocopy コマンドを使用してファイルのコピーを行いたいのですが、コピー元のファイルにアクセス許可がないためコピーに失敗します。対処方法を教えてください。回答 /zb オプションを追加してバックアップモード（アクセス許可の影響を受けないモード）で実行してください。なお Win 2008 の場合、Robocopy コマンドの/zb オプションに関する修正プログラムが提供されています。詳細は以下を参照してください。

参考：Error message when you use the Robocopy command together with the /ZB option to copy data from a file server to a Windows Vista-based or Windows Server 2008-based client: "Error 5: Access is denied"

(28)

-28-Copyright FUJITSU LIMITED 2012 参考：Robocopy http://technet.microsoft.com/ja-jp/library/cc733145(WS.10).aspx 4.2.4 コピーしたファイル/フォルダーの圧縮属性を確認したい 対象OS ファイルサーバ: Win2008/Win2008R2 質問 Robocopy コマンドを使用して圧縮されたドライブのファイル/フォルダーを圧縮されていないドライブへコピーします。圧縮属性が圧縮/非圧縮のどちらになるかを教えてください。回答コピー先のフォルダーの圧縮属性を継承するため、コピー後は圧縮されません。 4.2.5 コピーしたファイル/フォルダーがエクスプローラーで表示されない 対象OS ファイルサーバ: Win2008/Win2008R2 質問ドライブ全体をコピーするために Robocopy コマンドを使用してルートディレクトリ配下のすべてのファイル/フォルダーを他のフォルダーへコピーしましたが、コピー先には何も表示されません。対処方法を教えてください。回答コピー先で"attrib -h -s"コマンドを実行して Hidden、System の属性を解除してください。ルートディレクトリには、Directory 属性以外に Hidden、System という属性が付与されています。コピー元にルートディレクトリを指定すると、この属性がコピー先の指定フォルダーにコピーされるため、エクスプローラー上でファイル/フォルダーが確認できなくなります。これは既定の動作です。詳細は、attrib コマンドのヘルプを参照してください。 4.2.6 共有アクセス許可をコピーしたい 対象OS ファイルサーバ: Win2008/Win2008R2 質問ファイルサーバの共有アクセス許可を別のファイルサーバへ移行する必要があります。 Robocopy コマンドでの対処方法を教えてください。回答 Robocopy コマンドは、NTFS アクセス許可はコピーできますが、共有アクセス許可はコピーできません。共有フォルダーの共有設定については、再設定してください。なお、富士通ではサポートしていませんがマイクロソフト社が提供している Microsoft File Server Migration Toolkit(FSMT)により、共有アクセス許可のコピーが行えます。

参考：Xcopy

http://technet.microsoft.com/ja-jp/library/cc773364(WS.10).aspx 参考：より強力なファイル管理のために Robocopy について理解する http://technet.microsoft.com/ja-jp/magazine/ee851678.aspx 参考：Microsoft File Server Migration Toolkit 1.2

(29)

Windows Server 2008/2008 R2 ファイルサーバ共有フォルダーに関する TIPS 集 http://www.microsoft.com/downloads/ja-jp/details.aspx?displaylang=ja&FamilyID=d00e3eae-9 30a-42b0-b595-66f462f5d87b 4.2.7 Robocopy コマンドの正常終了を確認したい 対象OS ファイルサーバ: Win2008/Win2008R2 質問 Robocopy コマンドが正常終了したかどうかを確認する方法を教えてください。

回答 Logging options を付けて Robocopy コマンドを実行すると、指定した場所にログファイルが出力されます。ログファイルにより正常終了したことを確認してください。

参考：Robocopy

(30)

30

付録

富士通 PC サーバ PRIMERGY につきましては、以下の技術情報を参照願います。・PC サーバ PRIMERGY http://jp.fujitsu.com/platform/server/primergy/ ・PC サーバ PRIMERGY 機種比較表 http://jp.fujitsu.com/platform/server/primergy/products/lineup/select-spec/ ・サーバ選定ガイド http://jp.fujitsu.com/platform/server/primergy/products/lineup/select-model/ 富士通 PC サーバ PRIMERGY のお問い合わせ先。・PC サーバ PRIMERGY（プライマジー）のお問い合わせ http://jp.fujitsu.com/platform/server/primergy/contact/ 基幹 IA サーバ PRIMEQUEST につきましては、以下の技術情報を参照願います。・基幹 IA サーバ PRIMEQUEST http://jp.fujitsu.com/platform/server/primequest/ ・PRIMEQUEST 1000 シリーズ製品ラインナップモデル比較表 http://jp.fujitsu.com/platform/server/primequest/products/ 基幹 IA サーバ PRIMEQUEST のお問い合わせ先。・基幹 IA サーバ PRIMEQUEST のお問い合わせ http://jp.fujitsu.com/platform/server/primequest/contact/

(31)

Windows Server 2008/2008 R2 ファイルサーバ 共有フォルダーに関するTIPS集