任意アクセス制御リストを表示/設定する icacls

保護ドメインと任意アクセス制御リスト

LinuxとWindowsとではファイルやディレクトリといったリソースに対する保護モデルが異なっている。LinuxまたはUNIX系のオペレーティングシステムは基本的に保護ドメインというモデルをファイルやディレクトリアクセスの保護機構として使っている。

Windowsにもファイルやディレクトリアクセスを制御する機能がいくつか備わっている。Linuxと対比させて考えるのは難しいのだが、ユーザが自分で設定するという点で見ると、あえて似ているといえば、Windowsの任意アクセス制御リスト（DACL : Discretionary Access Control Lists）が、Linuxでの保護ドメインに近いと言えないこともない。ただし、WindowsのDACLはアクセス制御リストと呼ばれる制御方法で、保護ドメインとは、これはこれでちょっと考え方が異なっている。

さらに話を難しくするが、LinuxやUNIX系のオペレーティングシステムは保護ドメインとは別にアクセス制御リストの機能を持っている。LinuxやUNIX系オペレーティングシステムではアクセス制御リストは特定の用途でしか使われないのだが、WindowsのDACLと似ているといえば似ている。要するにどちらにも似たような機能があるということだ。

今回はWindowsでDACLの表示や設定を行うコマンドであるicaclsを紹介する。

任意アクセス制御リストを表示/設定する icacls

icaclsコマンドの基本的な使い方は次のとおり。

icaclsの基本的な使い方 ファイル対象

icacls ファイルパス [/grant[:r] SID:パラメータ [...]] [/deny SID:パラメータ[...]] [/remove[:g|:d]] SID[...]] [/t] [/c] [/l] [/q] [/setintegritylevel レベル:ポリシ[...]]

icaclsの基本的な使い方 ディレクトリ対象

icacls ディレクトリパス[/substitute 旧SID 新SID [...]] [/restore ACLファイルパス [/c] [/l] [/q]]

icaclsコマンドに指定するパラメータや権限の内容を簡単にまとめると次のようになる。

ユーザが明示的にicaclsコマンドを使って設定を変更することは、あまりないと思う。なんらかの理由で必要になったら使うこともあるかもしれないが、こういったことができるコマンドがある、という程度に理解しておけばよいだろう。

icaclsコマンドの使用例

ユーザが明示的にicaclsコマンドを使うことはあまりないように思うが、そもそもDACLがどういったものであるのか体感するために数回実行しておくのはアリだろう。たとえば次のようにicaclsコマンドを実行すると、カレントディレクトリ以下のファイルやディレクトリの設定内容を確認できる。

カレントディレクトリ以下の設定の確認

C:\Users\daich\Documents>icacls . /t
. NT AUTHORITY\SYSTEM:(OI)(CI)(F)
  BUILTIN\Administrators:(OI)(CI)(F)
  PARAN10-ONGS\daich:(OI)(CI)(F)

.\batches NT AUTHORITY\SYSTEM:(OI)(CI)(F)
          BUILTIN\Administrators:(OI)(CI)(F)
          PARAN10-ONGS\daich:(OI)(CI)(F)

.\COPYRIGHT.txt NT AUTHORITY\SYSTEM:(F)
                BUILTIN\Administrators:(F)
                PARAN10-ONGS\daich:(F)

.\desktop.ini NT AUTHORITY\SYSTEM:(F)
              BUILTIN\Administrators:(F)
              PARAN10-ONGS\daich:(F)

.\Makefile NT AUTHORITY\SYSTEM:(F)
           BUILTIN\Administrators:(F)
           PARAN10-ONGS\daich:(F)

.\try_inotify2.c NT AUTHORITY\SYSTEM:(F)
                 BUILTIN\Administrators:(F)
                 PARAN10-ONGS\daich:(F)

.\batches\echobatch_01.bat NT AUTHORITY\SYSTEM:(F)
                           BUILTIN\Administrators:(F)
                           PARAN10-ONGS\daich:(F)

.\batches\echobatch_02.bat NT AUTHORITY\SYSTEM:(F)
                           BUILTIN\Administrators:(F)
                           PARAN10-ONGS\daich:(F)

.\batches\echobatch_03.bat NT AUTHORITY\SYSTEM:(F)
                           BUILTIN\Administrators:(F)
                           PARAN10-ONGS\daich:(F)

.\batches\sample.txt NT AUTHORITY\SYSTEM:(F)
                     BUILTIN\Administrators:(F)
                     PARAN10-ONGS\daich:(F)

10 個のファイルが正常に処理されました。0 個のファイルを処理できませんでした

C:\Users\daich\Documents>

次のように/saveパラメータを指定すると、先程表示したような設定を指定したファイルに保存することができる。

/saveパラメータを指定してデータをファイルに保存

C:\Users\daich> icacls . /save aclfile.txt /t
処理ファイル: .
処理ファイル: .\.vscode
処理ファイル: .\3D Objects
処理ファイル: .\acltile.txt
処理ファイル: .\AppData
処理ファイル: .\Application Data
処理ファイル: .\Contacts
処理ファイル: .\Cookies
処理ファイル: .\Desktop
処理ファイル: .\Documents
処理ファイル: .\Downloads
処理ファイル: .\Favorites
処理ファイル: .\hoge.txt
処理ファイル: .\Links
処理ファイル: .\Local Settings
処理ファイル: .\MicrosoftEdgeBackups
処理ファイル: .\Music
処理ファイル: .\My Documents
処理ファイル: .\NetHood
処理ファイル: .\NTUSER.DAT
処理ファイル: .\ntuser.dat.LOG1
処理ファイル: .\ntuser.dat.LOG2

...略...

処理ファイル: .\AppData\Local\Programs
処理ファイル: .\AppData\Local\Publishers
処理ファイル: .\AppData\Local\Temp
処理ファイル: .\AppData\Local\Temporary Internet Files
処理ファイル: .\AppData\Local\VirtualStore
.\AppData\Local\Application Data\*: アクセスが拒否されました。
974 個のファイルが正常に処理されました。1 個のファイルを処理できませんでした

C:\Users\daich>

保存されたファイルの中身は次のようになっている。

このデータは/restoreパラメータを指定することで再設定用に使用することができる。ユーザが直接利用することはないんじゃないだろうが、こういった機能がWindowsには用意されていること、設定をチェックしたり変更するためのコマンドが用意されていること、などは覚えておいてほしい。

参考資料

• Windows Commands | Microsoft Docs
• icacls | Microsoft Docs