小さな事業のIT手帖

技術メモ担当者・業者向けの記事です。社長向けの入口は トップの困りごと です。

判断・選び方

共有フォルダのアクセス権を整理する。部署と役割の表で、誰に見せるかを決める

公開 更新 読了13分

業者に提案されたファイル共有・NASアカウント

中身の図の縮小版。色が付いているのは: 社員の名簿と入館証（アカウント・パスワード）、書類棚（ファイル共有・NAS）契約の名義とログイン情報ドメインDNSサイトメールアカウントファイルバックアップ電源・機器回線端末ソフトホームページとメール・パソコンの中身の図の、ここの話です社員の名簿と入館証（アカウント・パスワード）／書類棚（ファイル共有・NAS）中身の図で位置を見る →

「部長にだけ、このフォルダを見せたい」「派遣の人は、ここだけ」。頼まれるたびに個人へ権限を足してきた結果、いま誰が何を見られるのかを、社内の誰も説明できない。共有フォルダの管理を任された人が、だいたい2年目にぶつかる壁です。

個人への直接付与が増え、付けた理由や外す時期を記録していないと、異動・退職時の棚卸しが難しくなります。この記事では、部署と役割のグループを基本にして、例外を管理する方法を提案します。読み終えると、部署×役割の表1枚で権限を決め直せるようになり、「この人にだけ」の依頼をどう受ければよいかが分かります。表と確認表はそのまま使えます。

この記事で出来ること
部署×役割の表1枚で権限を決め直せる。「この人にだけ」の依頼の受け方が決まる
前提
共有フォルダ（ファイルサーバ・NAS・クラウド）の権限を変えられる管理者であること
所要時間
表づくり1〜2時間。設定の付け替えは規模によって半日〜数日

先に結論：私が守っている決まりは3つ

  • 部署と役割のグループを基本にする。 個人への直接付与を残す場合は、目的・責任者・期限を表に記録する
  • 権限を分ける場所を浅く保つ。 上から2階層を運用の目安にする。製品の必須条件ではありません
  • 表を先に作り、設定は表の写しにする。 設定画面が正本になると、半年後には誰も読めません
目次（7）
  1. 1. まず記入例を見てください
  2. 2. 個人別の権限が増えると、何が難しくなるのか
  3. 3. 例外の依頼は、こう受ける
  4. 4. 社内のファイルサーバとクラウドで違う点
  5. 5. 人が抜けるとき・入るとき
  6. 6. 確認表
  7. 出典（取得日: 2026-09-20）

1. まず記入例を見てください

10〜50人の会社なら、この1枚に収まります（部署名とグループ名は例です）。◎＝編集、○＝閲覧、空欄＝権限なし。

共有の単位 ＼ グループ営業-編集営業-閲覧経理-編集総務-編集役員全社員
01_全社共通（規程・様式）◎○○
02_営業◎○○
03_経理◎○
04_人事・労務◎○
05_経営◎
90_外部との受け渡し◎◎◎

作り方は3手です。①一番上のフォルダ（共有の単位）を、部署ごと・全社共通・見せる範囲が狭いもの、に分ける。②グループを決める。部署ごとに「編集」「閲覧」の2つまで。③交点を埋める。

この表で私が譲らない点と、その理由です。

決めごと理由
空欄＝権限なし、から始める「見せる」を後から足す事故は小さい。「見せない」を後から足すのは、すでに見られた後
「全社員」に編集を与えないよくあるのは、誰かがフォルダをドラッグして別の場所へ落とす事故。全社員が編集できると、全社のフォルダで起きます。気づくのは「あのフォルダが無い」と言われたとき
外部との受け渡しは専用の単位に分ける社外と共有する設定を、社内用の場所に持ち込まないため
不在時にも対応できる担当と変更履歴を決める人数は会社の体制に合わせ、不在時の対応と誰が変えたかを確認できるようにする
表そのものを全社員が見られる場所に置く「なぜ自分は開けないのか」の問い合わせが減り、例外の依頼に「表を変える話ですね」と返せる

2. 個人別の権限が増えると、何が難しくなるのか

個人に付けた権限は、その人が異動・退職したときに「どのフォルダに付いていたか」を全部探して外す必要があります。探し漏れた分は、使われないまま残ります。そのグループだけを通じて与えた権限なら、名簿から外すことでまとめて外せます。他のグループ、直接付与、共有リンクによるアクセスは別に確認が必要です。

手元の検証環境（ファイルサーバのソフト Samba）で、その差を見える形にしました。経理のフォルダはグループに、案件のフォルダ1つだけは「急ぎだから」と個人に権限を付けてあります。異動の想定で、その人をグループから外しました。1コマンドで、経理は NT_STATUS_ACCESS_DENIED（拒否）に変わります。個人に付けた案件のフォルダは、読めるままです。

グループから外した利用者が経理フォルダで NT_STATUS_ACCESS_DENIED になる一方、個人に付けた案件フォルダは読めてしまい、getfacl の総当たりで user:tanaka が3か所見つかる
グループから外すのは1コマンドで全フォルダに効く。個人に付けた権限は残り、全フォルダを総当たりで探すことになる（Sambaの検証環境・撮影 2026-09-20）

残った個人の権限を探すには、全フォルダの権限を総当たりで調べるしかありませんでした。その出力です。

lab$ getfacl -R -s -p /srv/share 2>/dev/null | grep -E "^# file|tanaka"
# file: /srv/share/eigyo
user:tanaka:--x
# file: /srv/share/eigyo/anken-a
user:tanaka:rwx
default:user:tanaka:rwx
# file: /srv/share/eigyo/anken-a/mitsumori.txt
user:tanaka:rwx	#effective:rw-

見てほしいのは1つ目の /srv/share/eigyo です。付けたつもりなのは anken-a の1か所だけでした。ところが、そこへたどり着くための通り抜け用の権限（--x）が、上の階層にも個人名で付いています。この検証では、依頼した場所だけでなく、上の階層にも個人の権限が残りました。 フォルダが3つの検証環境だから総当たりで済みましたが、数万フォルダの実機では、探すこと自体が仕事になります。

公式の資料も同じ方向です。Microsoftは、SharePointのチームのサイトの権限は、関連づいたMicrosoft 365 グループ（Teamsと一緒に使うサイトはTeams）を通して管理することを勧めています。Google ドライブの共有ドライブも、メンバーとして個人だけでなくグループを追加できます。

崩れるのは、決まって急ぎの依頼です。「今日中にこの人にだけ見せて」。ここで私は断りません。その依頼に合うグループを作るか、既存のグループに入れます。 1人しかいないグループでも構いません。グループの作成や承認には製品と社内手順に応じた手間がかかります。今回、作業時間は測定していません。目的・責任者・期限を記録し、グループ名にも用途を示します。

3. 例外の依頼は、こう受ける

頼まれること私ならこうする
部署のフォルダの中の一部を、数人だけに見せたい深い階層で権限を変えず、一番上に別の共有の単位を作って移す
1つの案件に複数の部署が関わる案件用の共有の単位とグループを作り、終わったら閲覧のみにして保管用へ
個人の作業用の置き場所が欲しい共有フォルダの中に個人名のフォルダを作らない。各自の個人用の領域を使い、業務の成果物は共有の単位に置く決まりにする
一時的に他部署の人に見せたい期限を決めてグループに入れ、外す日を管理表に書く。書かない一時対応は、必ず恒久になります

深い階層で継承を切るやり方は、やめたほうがいいと明言しておきます。設定した本人しか存在を知らず、上の階層で権限を整理したときに効かない場所として残ります。「見えないはずの人事資料が見えていた」は、たいていこの形で起きます。

製品の側にも限度があります。Microsoft 365では、1つのライブラリの中で個別に権限を持てる項目の上限が5万件、推奨は5,000件までとされています。

4. 社内のファイルサーバとクラウドで違う点

観点Windowsのファイルサーバ（NTFS）SharePoint・OneDrive（Microsoft 365）Google ドライブの共有ドライブ
権限がかかる場所共有のアクセス許可とNTFSのアクセス許可の2段。Microsoftの資料では、両方を使うと より制限の厳しいほうが適用されるサイト（とその中のライブラリ）。サイトの所有者・メンバー・閲覧者のグループが基本共有ドライブごとのメンバーとアクセスレベル
役割の種類読み取り、変更、フルコントロールなどを細かく組み合わせられる所有者・メンバー・閲覧者。Microsoft 365 グループには閲覧のみの区分が無く、閲覧だけの人はサイトの閲覧者グループに直接入れる管理者・コンテンツ管理者・投稿者・閲覧者（コメント可）・閲覧者の5段階
下の階層への伝わり方Microsoftの資料では、フォルダの中のファイルは、そのフォルダの権限のうち「継承する」とされたものを自動で引き継ぐMicrosoftの資料では、既定でサイトの権限がライブラリ・フォルダ・ファイルへ引き継がれる。Microsoftは継承を切らず、個別のファイルやフォルダは共有リンクで渡すことを勧めているGoogleの資料では、共有ドライブに移したファイルにアクセスできるのは、その共有ドライブのメンバーと、ファイルを直接共有された人
社外との共有原則として社内ネットワークの中組織全体とサイトごとに、社外共有の可否を設定できる。社外に出さない情報は、社外共有を止めたサイトに置くことをMicrosoftは勧めている社外の人が共有ドライブに追加した内容は、組織のものになる

Windowsの2段の権限は、Microsoftの同じ資料が、共有側を広く開けてNTFS側だけで絞るやり方も挙げています。私はこのやり方に統一します。 2か所で絞ると、開けないときに「どちらで止まっているのか」を毎回調べることになるからです。

もう1つの違いは、ファイルの持ち主です。Google ドライブでは、マイドライブのファイルは作った個人のもの、共有ドライブのファイルは 個人ではなくチームのもの で、Googleの資料では、メンバーが抜けてもファイルは共有ドライブに残るとされています。業務のファイルを個人の領域に置かない決まりが、退職時の手間を左右します。

クラウドへ移すときは、NTFSの設定を写そうとしないでください。クラウドは「フォルダの階層で細かく切る」より「共有の単位（サイト・共有ドライブ）を分ける」考え方です。1節の表の行を、そのままサイトや共有ドライブにして、同じ表から付け直します。

5. 人が抜けるとき・入るとき

場面やること
入社・異動グループの名簿に足す／移す。フォルダ側は触らない
退職・外注終了アカウントを止める → グループから外す → 個人用の領域に残った業務ファイルを共有の単位へ移す。順番は 退職者のアカウント、消す前に止める
個人が持ち主のファイルが、共有の場所の外に残っているアカウントを削除する前に、持ち主を移す（削除すると一緒に消えるサービスがある）
半年に1回名簿の棚卸し。各グループの責任者に名簿を見せ、「いまも必要か」を聞く。月を決めておかないと、やりません

6. 確認表

#確認すること済
1個人に直接付けた権限を棚卸しし、残す例外の目的・責任者・期限を記録した□
2部署×役割の表があり、全社員が見られる□
3権限を分ける場所と継承の例外を表で確認できる□
4「全社員」に編集の権限を与えている場所が無い□
5不在時にも変更できる担当が決まり、変更履歴を確認できる□
6社外と共有する場所が、社内用と分かれている□
7退職時の手順に「グループから外す」「持ち主を移す」が入っている□
8名簿の棚卸しの月が決まっている□
9付け替え後に、許可した人のアクセスと許可していない人の拒否を確認した□

すでに個人付与だらけの場合は、全部を一度に直そうとしないでください。表を作り、新しい依頼からグループで受け、既存の個人付与は棚卸しの月に部署1つずつ置き換える。完了時期はフォルダ数と例外の数で決めます。

小さな範囲から付け替え、許可と拒否の両方を確認する

変更前に現在のアクセス許可、グループの名簿、継承の状態を、戻せる形で保存します。部署1つの小さな範囲から、表どおりにグループの権限を設定します。個人への権限を外した後は、サインインし直した検査用アカウントで次の両方を確認してください。

確認する相手確認すること
表で編集・閲覧を許可した人必要なフォルダを開ける。閲覧のみなら書き換えできない
表で許可していない人対象フォルダと直接のファイルURL/パスを開けない

結果が表と違えば、その範囲の付け替えを止めます。名簿、他のグループ、個人への残存権限、継承、共有リンクを確認し、原因が特定できない場合は保存した変更前設定に戻して管理者や業者へ確認してください。グループから外したことだけで、別経路のアクセスまで消えたとは判断しません。この確認手順全体を今回のSamba検証で試したという意味ではありません。

ファイルサーバやNASの設定を業者が持っているなら、こう頼みます。

件名: 共有フォルダの権限の一覧のご提供と、グループへの付け替えのお願い

1. 共有フォルダごとに、いま権限が付いている相手（個人・グループ）の一覧をください
2. 個人に直接付いている権限を、添付の表のとおりグループへ付け替えてください。
   小さな範囲で付け替え、個人の権限を外した後に、許可した人のアクセスと許可していない人の拒否を当社と確認してください
3. 作業の前の設定を、元に戻せる形で控えておいてください

退職者のデータをどこまで見てよいか・いつまで残すかは、就業規則と専門家に確認してください。

→ 引っ越しの全体は 古いNASをやめてクラウドへ、グループの土台になるアカウント管理は 30人の会社にActive Directoryは要るか

出典（取得日: 2026-09-20）

この記事は特定の製品の使用レビューではありません。公式仕様と公的情報をもとに整理しています。 ・仕様の取得日

次にやること