13． ユーザー管理
13−１ ユーザー・グループ
Windowsパソコンの世界でも、Windows2000/XP から「ユーザー」という概念が重要になりました。 コンピュータを使うには、特定のユーザーとしてログオンする必要があり、 そのユーザーアカウントに与えられた権限の範囲での操作のみが許可されます。ユーザーアカウントの権限は通常、そのアカウントを特定の「グループ」に所属させ、 グループに設定された権限の適用を受ける形で設定されます。
Windows2000/XP に標準で用意されているユーザーグループには、 例えば以下のようなものがあります。
- Administrators ／管理者
システム全体に対して全てアクセス、変更ができます。 - Power Users ／標準ユーザー
システムの本質に影響を与えない範囲の操作はできますが、
他のユーザーのファイルを読み書きすることはできません。
- Users ／制限ユーザー
自分で作ったファイルやフォルダなら自由に読み書きできます。
システム設定の変更、ソフト・デバイスのインストールなどはできません。
WindowsXP のうち Home Edition でユーザーアカウントを作成すると、 「管理者」「制限ユーザー」のいずれかしか選択できません。
13−２ ユーザー管理
ユーザーアカウントの新規作成／無効化／削除等には、通常はＧＵＩでWin2K=[スタート]-[設定(S)]-[コントロールパネル(C)]-[ユーザーとパスワード]
WinXP=[スタート]-[コントロールパネル(C)]-[ユーザアカウント]
というメニューをたどって処理するのですが、これをＣＵＩのコマンドラインから行うことができます。 ユーザーの追加／削除を行うには、当然のことながら管理者(Administrators)権限が必要です。
NET USER （ユーザー一覧を表示します）
NET USER ユーザー名 （ユーザーアカウントの情報を表示します）
NET USER ユーザー名 /active:{no|yes} （ユーザーを無効|有効化）
NET USER ユーザー名 パスワード /add （ユーザーアカウントを作成）
NET USER ユーザー名 /delete （ユーザーアカウントを削除）
C:\>net user |
← ユーザー一覧を表示
\\ZACOSPC のユーザー アカウント 
ドメイン型のネットワークにおいては、各命令の最後に /domain というスイッチを 付けることで、ローカルマシンのでなく、ドメインの方のユーザーを操作することができます。 この場合はもちろん、ローカルではなくドメインの管理者権限を持ったユーザーでログオンしている必要があります。
13−３ グループ管理
上記のコマンドで作成されるユーザーアカウントは、作られた時点ではとりあえず Users グループに所属しています。 ローカルグループの管理には、[コントロールパネル]-[ユーザーとパスワード]-[詳細]-[高度なユーザー管理]
または
[コントロールパネル]-[管理ツール]-[コンピュータの管理]-[ローカルユーザーとグループ]
といったＧＵＩツールが用意されています。 グループの新規作成／削除／ユーザーをグループへ所属させる 等の処理をＣＵＩで行うには、 以下のコマンドを用います。ユーザー管理に同じく管理者(Administrators)権限が必要です。
NET LOCALGROUP （グループの一覧を表示します）
NET LOCALGROUP グループ名 （グループ所属者等の情報を表示）
NET LOCALGROUP グループ名 /add （新しいグループを作成）
NET LOCALGROUP グループ名 /delete （グループを削除）
NET LOCALGROUP グループ名 ユーザー名 /add
NET LOCALGROUP グループ名 ユーザー名 /delete
（ユーザーをグループに追加／グループから削除）
C:\>net user |
ユーザー管理と同じく、各命令の最後に /domain というスイッチを 付けることで、ローカルでなく、ドメインの方を操作することができます。 この場合はもちろん、ドメインの管理者権限を持ったユーザーでログオンしている必要があります。
13−４ アクセス制限
特定のユーザーにだけファイル、フォルダ等へのアクセスを許可したい場合があります。 あるいは読み取りは許可したいが書き込み（変更）までは許可したくない、といった細かい制限を 設けたいこともあります。
[新しいグループを作成]→[許可したいユーザーだけをそのグループに参加させる]→
[フォルダまたはファイルのセキュリティで、そのグループだけに必要なアクセス許可を与える]
という操作を、ＣＵＩで実現してみます。CACLS ファイル名
ファイル（ディレクトリでも可。以下同じ）のアクセス制限を表示します
CACLS ファイル名 /G ユーザー名：権限
ファイルのアクセス制限を、指定ユーザーによるアクセス許可と置き換えます
[ユーザー名：権限] は一度に複数個指定できます（以下同じ）
権限の種類…N=なし,R=読み取り,W=書き込み,C=変更,F=フルアクセス
CACLS ファイル名 /E /G ユーザー名：権限
指定されたユーザーのアクセス許可だけを変更します
CACLS ファイル名 /E /R ユーザー名
指定されたユーザーのアクセス許可を解除します
CACLS ファイル名 /E /D ユーザー名
指定されたユーザーによるアクセスを拒否します
C:\>net localgroup parents /add |
上記の処理以後、papa または mama 以外は oya ディレクトリにアクセスすることが できなくなります。注意しなければならないのは、/E スイッチを付けずに 権限の設定を「置き換え」た場合は、もともとあった Administrators 、SYSTEM 等の権限も解除されてしまい、 アクセスできなくなるという点です。置き換え時に Adoministrators 等の権限も設定して置き換えするか、 編集（/E）モードで必要なユーザー/グループの追加と解除を明示的に行うようにするべきでしょう。
13−５ バッチ処理
便利なＧＵＩがあるのに、それとは別にＣＵＩが用意されていることのメリットのひとつは、 「バッチファイル化できる」ということだと思います。例えば次のような使い方ができます。バッチファイルは D:\ に保存して下さい。
 scfldr.bat−メモ帳
|
| ファイル(F) 編集(E) 書式(O) ヘルプ(H) |
net user %1 %1 /add net localgroup "Power Users" %1 /add net localgroup "Users" %1 /delete mkdir %1 cacls %1 /e /g %1:c /r users |
D:\>scfldr zacospage |
バッチファイルを実行すると、以下の一連の処理を自動的に行います。
- zacospage というユーザーアカウントを作成します。
（ パスワードも zacospage となります。） - zacospage を Power Users グループに追加します。
- zacospage を Users グループのメンバーから削除します。
- zacospage という名前のディレクトリを作成します。
- そのディレクトリに対して Users のアクセス権を解除し、
zacospage のアクセス権（変更可）を追加します。
