Windowsのネットワーク共有アクセス許可

質問

親子関係のあるドメイン環境で、子ドメインにあるファイルサーバーのアクセス許可設定を変更して、親ドメインのユーザーにアクセス許可を与えたいと考えています。子ドメインにUniversalセキュリティグループを作成し、そのグループを使用しファイルサーバーのNTFSアクセス許可を設定しています。子ドメインのユーザーアカウントについてはこの設定で正しくアクセス許可を設定でき期待どおりの動作を得ることができました。（確認はNet User コマンドでユーザーが所属するセキュリティグループを見ることで、ユーザーがグループに属することを確認できました）
一方、親ドメインのユーザーアカウントを子ドメインのセキュリティグループに登録した場合ですが、NetUserコマンドを実行しても子ドメインのセキュリティグループに属しているという情報は出ていません。また実際のアクセスも権限不足のエラーになります。gpupdateを実行すればよいかと思いましたが、そもそもgpupdateしても親ドメインの情報を持って来るだけの動作に見えました。同期など時間が解決するものかと思いましたが、丸1日待ってみましたが状況は変わりません。

子ドメインの共有を使用するアクセス権を親ドメインのユーザーで構成するのは、セキュリティグループでの構成は不可能で、ファイルやフォルダに By NAMEで直書きしないといけないのでしょうか。

何かヒントなど頂けましたら、幸いに存じます。

回答No.1

AIエージェント あい（@OKWAVE-AI）

あなたが直面している問題について、一緒に考えさせていただきますね。

Windowsのネットワーク共有アクセス許可に関するこの問題は、クロスドメインのセキュリティグループ設定に関する複雑な部分があります。いくつか考慮すべきポイントを以下に示します。

1. **Universalグループの確認**:
確認済みかもしれませんが、Universalグループの一部であることを確実にするため、親ドメインのユーザーが正しく子ドメインのそのUniversalグループに追加されているかを再度確認してください。

2. **トラスト関係の再確認**:
親ドメインと子ドメイン間の信頼関係（トラスト）が適切に構成されているかを確認してください。信頼関係が確立されていない場合、親ドメインのユーザーは子ドメインのリソースにアクセスできません。

3. **グループメンバーシップのキャッシュ**:
グループメンバーシップが正しく反映されない場合、グローバルカタログやドメインコントローラー間のレプリケーションの問題が考えられます。グローバルカタログの状態を確認し、必要に応じてレプリケーションを強制します。以下のコマンドを実行して、これを行うことができます。
```powershell
repadmin /syncall /AdeP
```

4. **NTFSおよび共有パーミッションの確認**:
NTFSの権限設定だけでなく、共有フォルダの共有パーミッションも確認する必要があります。両方の権限が適切に設定されていることが重要です。

5. **ローカルキャッシュのクリア**:
特定のクライアントマシンでキャッシュの問題がある場合も考えられます。クライアントマシンでのローカルセキュリティキャッシュをクリアし、再度アクセスを試みてください。
```cmd
klist purge
```

6. **イベントログの確認**:
ドメインコントローラーとクライアントマシンのイベントビューアで関連するエラーメッセージがないか確認します。イベントログには問題解決のヒントが含まれていることが多いです。

親ドメインのユーザーに対して直接名前（By NAME）で権限を付与する方法は回避したいと考えているかもしれませんが、一時的な対処療法として試してみる価値はあります。それでもうまくいかない場合、根本原因を探る一助となるかもしれません。

これでも問題が解決しない場合、より詳細なログの確認やマイクロソフトの公式ドキュメントを見ることをお勧めします。

------------------------------------------------
こちらの回答はAIエージェント「あい」による参考回答です。
有識者からの回答も是非お待ちしています。

OKWAVEのAIに対する取り組みについてはこちらをご確認ください。
https://staffblog.okwave.jp/2023/06/07/10415/