ファイルサーバーをクラウドへ移行する際は、データだけでなくアクセス権限の移行にも注意が必要です。Windowsで広く使われるNTFS（New Technology File System）では、ファイルやフォルダごとに「誰がどの操作をできるか」をACL（アクセス制御リスト）で管理しています。
この権限設定を整理せずにクラウド側へ引き継ごうとすると、不要な権限が残り、意図しないユーザーがファイルを閲覧・編集できるおそれがあります。本記事では、現行ACLをどのように棚卸しし、移行先の権限体系へどう対応づけるかを、権限マッピングやテストの進め方とあわせて解説します。
Contents
NTFSのアクセス権をそのまま移行すると何が起きるか
情シスや移行PMが直面しやすい課題は、そのまま移すと過剰権限になってしまうことです。移行前にデータを整理しないと、古い資料や重複ファイルとともに不要な権限設定まで引き継いでしまうおそれがあります。
つまり「ファイルを移す」ことと「権限を正しく移す」ことは別の作業です。後者を軽視すると、クラウド移行後に誰がどこまで見られるのか分からない状態になりかねません。
関連記事：「ファイルサーバーのクラウド化とは？移行手順・費用・サービス選定のポイントを解説」
NTFS ACLの基本用語と継承パターン
押さえておきたい基本用語
ACL変換を設計する前に、関係者間で用語のずれをなくしておくことが重要です。
- ACL（アクセス制御リスト）：アクセス制御エントリ（ACE）の一覧です。NTFSでは、DACLがユーザーやグループに対するアクセスの許可／拒否を定義し、SACLはアクセスの監査対象を定義します。本記事では主にDACLを扱います。
- 継承：親フォルダに設定した権限が、配下のサブフォルダやファイルへ引き継がれる仕組みです。
- 明示的な権限：親から継承した権限ではなく、対象のフォルダやファイルへ直接設定された権限です。許可だけでなく、拒否のACEもあります。
- グループ権限と個人権限：部署やチーム単位のグループに付与する権限と、特定の個人に付与する権限です。
ACLおよびACEの仕組みについては、Microsoft Learnでも解説されています。
出典：Microsoft Learn
継承パターンの整理表
移行対象のフォルダがどの継承パターンに該当するかを分類しておくと、棚卸し作業の抜け漏れを防ぎやすくなります。
| 継承パターン | 状態の説明 | 移行時に注意すべき点 |
| 継承のみ | 親フォルダの継承可能なACEを受け継いでいる | 移行先に同等の継承機能があるか確認し、同じアクセス範囲・操作範囲になるよう再設計する |
| 継承＋明示的な権限 | 継承ACEに加え、対象に直接設定された許可／拒否ACEがある | 明示設定の理由と必要性を確認し、特に拒否ACEを見落とさない |
| 継承の無効化 | 親からの新たな継承を受けない状態。無効化時に、それまでの継承ACEを明示的なACEとして保持している場合もある | 現在の実効権限を確認し、移行先で同等の制御を再現できるか検証する |
ACLを移行先の権限へ対応づける6ステップ
NTFSのACLをクラウド側へそのまま移すのではなく、現在の権限を棚卸しし、移行先サービスの権限体系に合わせて再設計します。主な手順は以下の6ステップです。
- 現行ACLを棚卸しする：フォルダやファイルごとに、権限対象のユーザー／グループ、許可／拒否、継承／明示、アクセス権の内容を確認します。SMB共有にアクセス権を設定している場合は、NTFS側だけでなく共有側の権限も確認します。
- 不要な権限を整理する：退職者や異動者に残っている権限、利用目的が分からない個人権限、現在は不要な例外設定などを確認し、移行後も必要な権限と削除する権限を分けます。
- 移行先の権限モデルを設計する：部署・役職ごとに必要なアクセス範囲と操作範囲、社外共有の要件を整理し、移行先サービスで利用できるアクセス権限やグループ、共有方式に落とし込みます。
- 権限マッピング表を作成する：NTFS側の権限と移行先の権限設定の対応関係を一覧化します。1対1で置き換えられない設定については、代替する設定方法や運用方法も決めておきます。
- テスト移行で権限を検証する：一部の部署やフォルダを対象にテスト移行し、許可されたユーザーが必要な操作を行えるかだけでなく、権限のないユーザーが閲覧・編集できないことも確認します。
- 本番移行後の権限を確認する：本番移行後も権限マッピング表と照合し、想定どおりのアクセス範囲になっているかを確認します。あわせて、今後の権限追加・変更・削除のルールを関係者へ周知します。
ファイルサーバーのクラウド化にあたっては、移行前にファイル容量・利用者・アクセス権限を洗い出し、部署・役職ごとのアクセス権限を設計したうえで、一部の部署やファイルでテスト移行する流れを紹介しています。
権限マッピング表の例
対応表は「誰が」「どのNTFS権限を持っているか」「移行先ではどの権限設定に対応させるか」を整理するために作成します。NTFSと移行先サービスでは権限モデルが異なる場合があるため、必ずしも1対1で対応するとは限りません。
| 現行ACL側の設定 | クラウド側の対応単位（設計例） | 移行時の判断ポイント |
| 部署フォルダへのグループ継承権限 | 部署単位のグループ | 移行先の継承方式を確認し、必要なフォルダ・操作範囲に対応させる |
| 個人へ付与された例外権限 | 個人単位の追加アクセス | 現在も業務上必要か、担当者に確認したうえで判断する |
| 社外共有用の個別フォルダ権限 | 共有リンク・外部ユーザー招待などの共有単位 | 社外共有ルールに沿っているかを移行前に見直す |
| 継承を無効化した独自設定フォルダ | 移行先の個別アクセス権限 | 許可／拒否、対象ユーザー／グループ、現在の実効権限を確認し、同等の制御方法を検討する |
この対応表は、フォルダ単位・ユーザー単位・グループ単位で移行先の権限を設計する際の土台として使えます。
ACL移行でよくある失敗例
- 過剰権限の引き継ぎ：不要な権限設定まで整理せずに移してしまい、意図しない過剰権限が残ってしまう。
- 例外設定の見落とし：明示的に設定された許可／拒否や、継承を無効化したフォルダを棚卸しから漏らし、移行後のアクセス範囲が変わってしまう。
- 段階を踏まない一括移行：優先順位をつけずに一度に移行しようとして、日常業務に支障をきたす。
受け入れ基準：切替前に確認したいポイント
- 対象フォルダ・部署でテスト移行を実施し、許可対象のユーザーが必要な操作を実行できることに加え、非許可対象のユーザーが閲覧・編集できないことまで確認済みであること。
- 移行前にバックアップを取得済みであること。
- 権限マッピング表の対応関係について、部署側の担当者から確認を得ていること。
- 切替後の操作方法・運用ルールを周知する準備ができていること。
Fleekdriveのアクセス権限設定と導入・移行相談
Fleekdriveでは、ユーザー別・フォルダ別に細かなアクセス権限を設定でき、グループ管理にも対応しています。また、導入前の運用相談や、大規模なデータ移行についての相談窓口があります。現行のNTFS ACLをFleekdriveのアクセス権限へ対応づける場合は、移行前に権限要件を整理したうえでご相談ください。
なお、アクセス権限のカスタマイズは契約プランやオプションによって利用条件が異なります。詳細はFleekdriveの機能一覧ページおよび導入サポートをご確認ください。
よくある質問
Q. NTFSのアクセス権をクラウド移行時にどう変換すればよいですか？
まず現行ACLを棚卸しし、許可／拒否、継承／明示、ユーザー／グループ、権限範囲を整理します。そのうえで、移行先サービスの権限モデルとの対応表を作成し、1対1で置き換えられない設定については代替方法を決めます。一部の部署やフォルダで、許可対象・非許可対象の双方を使ってテストしたうえで段階的に切り替えるのが基本です。
Q. 継承を解除した独自設定のフォルダはどう扱えばよいですか？
継承を解除したフォルダは、設定意図と現在の実効権限を優先して確認します。継承を無効にした際に、それまでの継承ACEが明示的なACEとして保持されている場合もあるため、許可／拒否と対象ユーザー／グループを確認したうえで、移行先の権限モデルに対応づけます。
まとめ
ファイルサーバーをクラウドへ移行する際は、データだけでなくアクセス権限もあわせて見直すことが重要です。NTFS ACLをそのまま移行先へ置き換えようとせず、ユーザー／グループ、許可／拒否、継承／明示、権限範囲を棚卸しし、移行先サービスの権限モデルに合わせて再設計しましょう。
権限マッピング表を作成したうえで、許可対象のユーザーが必要な操作を行えるか、非許可対象のユーザーがアクセスできないかをテストし、段階的に切り替えることで、過剰権限やアクセス不能といった移行後のトラブルを防ぎやすくなります。
