ActiveDirectoryのOU配下のユーザーをすべて含むグループの作成

Question

ActiveDirectoryで拠点ごとにOUを作成し、その中にユーザーが含まれている状態です。

OUにポリシーを当てるだけの運用であればよかったのですが、OU全員がアクセス可能な共有フォルダを作成する場合に、グループでないと指定できないので困っています。

OUのユーザー全員と同じユーザーが入っているグループを作成し、共有フォルダにそのグループを当てれば何とかなりそうですが、ユーザーが増減した場合の運用が大変そうです。

なにかうまい方法はないでしょうか？

Answer 1

グループポリシーに WMIフィルターを設定してみてはいかがでしょうか？

私がシステム管理している企業様も、拠点ごとに分けられたユーザーに同様のリクエストがありました。

このとき、質問者と同じくユーザーの増減にあわせてメンテナンスできる可能性が低かったため、WMIフィルターで適用条件をコントロールしました。

ただ、経験上ファイルサーバーを利用されるユーザー様は、数年間利用していると、次第にファイルへのアクセスを細かく、かつ、厳しく要求される場合がほとんどでした。

このとき、ActiveDirectory内に、アクセスコントロール用の業務グループを用意する状況は、もはや避けられない事態になります。

もしサーバーの運用が長期間にわたるなら、システム移行期に、アクセス用のグループの用意出来たほうが、利用者も管理者もハッピーかと。

こちらはwmiを利用される場合の参考に、なるかもしれないので、

PCごとのドライブマップ制御について

Comments

[madoka]

> もしサーバーの運用が長期間にわたるなら、システム移行期に、アクセス用のグループの用意出来たほうが、利用者も管理者もハッピーかと。
こちらのグループについて設計を練り直す案が良さそうです。

ドライブレターでアクセス権の制御を管理するのはやめたいと考えております（IPが見えないから大丈夫という発想で運用をずっとしてきたのですが、別回答のsakaki0201さんのご指摘の通り機密情報のセキュリティに問題があるため）

Answer 2

OUでフォルダのACLを設定するのは難しいと思います。
以下のようにするのはいかがでしょうか？

１）誰でも読み書きできる管理共有フォルダを作成
（管理共有であれば他のユーザーはパスがわからなければアクセスできない）
２）OU毎にGPOを作成。
３）２）のGPOで１）のフォルダをネットワークドライブにマウントさせる。

問題点として、管理共有のパスが漏れてしまうと誰でも読み書きできてしまうことです。

Comments

[madoka]

回答ありがとうございます！
ただ現状の運用が回答に近いんですよね…
NASが30台近くあってドライブレターがAからZまで埋まる、故障対応が大変ということでクラウドのFSx for Windowsにしてドライブレターは1つにしようという目論見でした。
グループへのユーザー追加作業が面倒そうですが、それしかなさそうですね