ファイルサーバのセキュリティについて

質問

サーバ機というほどでも無いのですが、ファイルサーバとしてPCを１台
立ち上げようと思っていますが、アクセス制限をかけられないかと
悩んでいます。
アドバイスなどいただけたらありがたいです。

クライアントは５０台から１００台程度のLAN（1Gベースで、インターネット
接続は無し、GIGA－SWHUBベースのLAN）にNASもしくは少し大きめの
HDDを搭載したPCを繋げて、ファイルサーバとして使うことを考えています。
クライアントはWin2000、XP、そして僅かにVISTAなどが既に繋がってます。
ドメインなどは無く、単純にWorkGroupがあるだけで、LANにつないで
プリンタ共有している程度の単純なLANです。
今回、そのLAN上に共有サーバを公開して、そこに単純に各人でフォルダを
作ってもらう程度を考えています。

そこで出てきた問題なのですが、各人が作ったフォルダは各個人の判断で
アクセス制限をかけたり、あるいは公開したり、ということをしたいという
要望がありました。
現状の各PCの状況ですが、まったくバラバラに購入しているPCのため、
一切管理されておらず、購入時のままや、adminなどであったりします。
アカウント管理などは不可能な状態で稼働しているため、アクセス制限の
ようなセキュリティを例えばIPアドレスやHostnameで行うことは可能なので
しょうか。またそういうことが可能なファイルサーバソフトなどがあれば
教えていただけましたら大変ありがたいです。

回答No.5

saijyo_739

> サーバ機というほどでも無いのですが、ファイルサーバとしてPCを１台
> 立ち上げようと思っていますが、アクセス制限をかけられないかと
> 悩んでいます。

> NASもしくは少し大きめのHDDを搭載したPCを繋げて、ファイルサーバとして使うことを考えています。

大抵のNASってファイルサーバですよ。
NAS使うなら『ファイルサーバとしてPCを１台立ち上げ』は不要かと思います。

http://buffalo.jp/products/catalog/storage/terastation/page01_01.html

通常のアクセス制限とアクティブディレクトリによるアクセス制限が説明されてます。

> アクセス制限のようなセキュリティを例えばIPアドレスやHostnameで行うことは可能なので
> しょうか。

管理者が面倒かと思いますが、パケットフィルタの設定でも可能ではあります。
アドレス設計をそれなりに行えば随分楽にはなるかと思います。
※ファイルサーバで使っているポート番号でフィルタリング設定すれば。アドレスと組み合わせて。

> 現状の各PCの状況ですが、まったくバラバラに購入しているPCのため、
> 一切管理されておらず、購入時のままや、adminなどであったりします。

一台のファイルサーバにまとめる事が難しそうな。
アドレスの割り当てはどうやって行ってますか。
dhcpだと、macアドレス収集して、macアドレスに対して割り振るIPアドレスを固定して、アドレスと関連させたフォルダでという感じならそれなりに対処できるかも。(アドレスがアカウント的な運用)

どう管理するのが良いかは状況が詳しく書かれてないので良くわかりません。
現場にあった管理方法を模索するしかなさそうな。

回答No.4

Toshi0230

Windows Serverを導入してドメイン(AD)環境を構築する、に1票。
PCが3桁に乗るんだったら十分検討に値します。というか私なら50台超えた時点で導入します（でないとやってらんない）。
サーバソフトの値段が高いですが、ドメインコントローラ用のハードウェアは安価な物を2～3台用意すればOKです。

> IPアドレスやHostnameでセキュリティ管理を行うことは無理なのでしょうか。

手がないわけではないと思いますが、「ユーザがそれぞれ設定」できる様な物は思いつきません。管理者が地獄を見るだけなので…

どうしても初期費用が出ないということであればSamba+LDAPという手もありますが、技術的な敷居が高くなるのであまりおすすめはしません。

回答No.3

D-Matsu

いくら初期費用が高くつくと言ったところで、現状を放置しておいたらどうせ管理コストでジリ貧です。
なのですっきりさっぱりした方が将来のためでもある訳で。

どうしても金銭的にコストがかけられず、習得する気があるならLinux/Samba/LDAPでドメイン運用って手もありますが……

回答No.2

e-shops

ワークグループ環境下で個別アクセス権管理をするとなりますと…
・ファイルサーバに全利用者のアカウントを作成する。
・更にアカウント名とパスワードは個々のＰＣに設定されたものと同じにする。
⇒ クライアント側でパスワードが変更されたら、ファイルサーバ側でも再設定が必要。
という事で管理工数は莫大で現実的ではないですね…

ドメイン環境に移行するしかないと思われますが、
どうしてもWorkGroup環境から脱せられない理由があるのでしたら、
個々のＰＣでファイル共有＆アクセス権管理を行い、
ＮＡＳはそれらのバックアップ用に使うしかないですかね？汗

補足

e-shops様
ありがとうございます。
聞いた話では最初は10台に満たないLANだったようですが、増設に次ぐ増設
でとくにサーバやドメインにすることなく各部門が自由に拡張してしまった結果のようでした。正確な台数もわからないくらいです。おそらくWindowsサーバ／ドメインなどへの移行は管理者がいないようなので難しいみたいです。

やはり
IPアドレスやHostnameでセキュリティ管理を行うことは無理なのでしょうか。
ファイルサーバPCを立てて、そこへ、たとえばIPでフォルダ共有管理をする
ソフト（そんな都合が良いソフトがあれば・・・）をインストールして、そのソフト
がアクセスしてくるPCとセキュリティ照合する、そんなソフトがあれば
とりあえずなんとかなるかな、と思いまして当方も並行して探しているところです。
またなにかアドバイスなどいただけましたら大変助かります。

回答No.1

D-Matsu

Windows Serverに移行してドメイン管理するしかないでしょう。
というか、規模的にいいかげん導入しないと管理が破綻すると思うんですが……？

補足

D-Matsuさま
早速のご回答ありがとうございます。おっしゃる通りです。実は当方、当初の
導入関わっていなかったため自体をはあくできておらず、諸事情でこの話を
なんとかしなければならなくなってしまっています。
費用的にWindowsServerやSE人件費など厳しいようで悩んでいる次第です。