Windowsのローカルフォルダで特定のユーザまたはグループのみにアクセスを許可したい

Question

社内の各PCのCドライブ直下に管理者用のフォルダを設けたいと考えています。
管理用プログラムのソースコードなどが含まれているため、改変や削除はおろか閲覧をクライアントユーザにさせたくなく、管理者用ユーザ（3つほどあります）以外はそのフォルダへのアクセスを拒否したいです。

そこで、管理者用ユーザまたは管理者用ユーザだけが所属するグループを作成し、icaclsコマンドを使用したアクセス権の設定を考えましたが、うまくいきません。
例えば、Usersグループで拒否してしまったら管理者用ユーザまで影響が及んでしまう、などです。

クライアントユーザは管理者権限を持っており、それぞれのPC内で今後も管理者権限にて別ユーザを作成する可能性があります。

そのため、今後のユーザ状況が影響することなく、現時点で決まった管理者用ユーザだけが将来に渡ってアクセス出来る設定としたいです。
可能でしょうか？
PCは全てWindows10 Professionalです。

2019/05/07　追記
運用改善を図りました。
クライアントユーザはこれまで管理者権限を保持しておりましたが、今回見直しを図り全て標準ユーザとしました。

Comments

[over]

ドメイン環境でしょうか?
> 管理者用ユーザ（3つほどあります）
該当ユーザのみのアクセス権とするか、該当ユーザのみのグループを作成し、該当グループのみのアクセス権とするかで実現できると思います。
もし、上記が実現できない環境というのであれば、そちらをご記載頂かないと適切な回答が得られない気がします。

[dai3922]

いつもご回答、助けて頂きありがとうございます。
Active Directoryのことでしょうか？もしそうでしたらドメイン環境ではありません。

例えばC:\testというフォルダを今回の管理者専用のフォルダにしたい場合、
管理者以外のユーザはどの様に拒否設定を行えば良いでしょうか？
ローカルフォルダを作成した場合、最初は全てのユーザがアクセスすることが出来ますが、そこからどの様に「管理者以外のユーザ」「今後作られるユーザ」を排除すれば良いか分かりません。
現時点の「管理者以外のユーザ」は既知としてテキストベースのリストがあるためicacls /denyコマンドで拒否できますが、「今後作られるユーザ」はリストには存在しないため、ここで止まっている状況です。

[over]

デフォルトでは、ディレクトリ作成時、作成したユーザ、administrators、systemの権限が付与されるはずです。こちら、操作許可ユーザ/グループのみにしてsystem以外を削除すれば良いと思います。
ただし、他の回答者様の通り、administratorsに所属しているユーザは、どうにかするとそのディレクトリへのアクセス権を得ることが可能なので解決にはなりませんね。運用設計を考える必要ありです。

[dai3922]

ご回答有り難うございます。
ご指摘を頂戴し、クライアントユーザは全て標準ユーザとしました。
ひとまずここからご指摘の設定を行ってみます。

[dai3922]

やりたいことが実現しました。
ベストアンサーでの回答にて詳細をご説明致しますが、over様のご指摘頂いた様に不要ユーザ（グループ）の削除とログインさせたいユーザを個別指定することで実現が出来ました。

とても助かりました。
いつもありがとうございます。

Answer 1

アクセス権限を付与するユーザー(グループ)のみ権限を与えれば、大筋で実現可能です。
ただし、管理者権限を持った権限を持たないユーザーは、所有権を取得可能なため根本的な解決にはなりません。

contoso\jsmithだけにフルコントロールを与えた場合

c:\>icacls c:\secret
c:\secret contoso\jsmith:(OI)(CI)(F)

Comments

[dai3922]

ご回答頂きありがとうございました。
お二方に助言を頂きまして、下記の許可・拒否のコマンドを登録したところ目的のことが実現できました。
もう一方のover様にご指摘頂いたフォルダ作成した直後、デフォルトでは「作成したユーザ、administrators、system」の3者でアクセスが可能とありましたが、「Authenticated Users」も含めてフォルダのプロパティに表示されていた不要なグループを削除したところ実現が出来ました。
とても助かりました。ありがとうございました。

＝許可ユーザ＝
icacls C:\test /grant:r admintest:(OI)(CI)F

＝削除したグループ＝
icacls C:\test /remove:g administrators
icacls C:\test /remove:g users
icacls C:\test /remove:g "Authenticated Users"