Windows Server 2008で作る！第1回

ファイルスクリーン機能で不正ファイルの保存抑止

ファイルサービスリソースマネージャには「ファイルスクリーンの管理」機能が実装されている。これにより、ボリュームの肥大化を防ぐとともに、企業としてファイルサーバーに保持しておくのにふさわしくないファイルの保存を抑止することができる。

例えば、著作権問題に触れやすく、かつ大容量になりがちなオーディオファイルの保存を抑止することで、ファイルサーバーの空き容量管理を効率的に行うだけでなく、利用者の企業倫理育成を促すことができる。

ファイルスクリーン処理はフォルダごとに設定できるため、一部の共有フォルダや、特定のユーザーのホームディレクトリなどを限定的に監視することも可能だ。

ファイルスクリーンでの保存の抑止には、以下の2通りの方法が用意されている。

アクティブスクリーン処理による保存の拒否
パッシブスクリーン処理による保存の監査

アクティブスクリーン処理を使用した場合、例外ユーザー以外の利用者は、設定された種類のファイルを一切保存することができない。また、ファイルの保存が拒否されるだけでなく、保存しようとしたユーザーおよび指定した管理者（上長などを指定することも可能）に対して警告メールを発信することができる。保存をトリガーにしてコマンドを自動的に実行することもできるため、企業や部門に沿った独自の処理を組み込むことも可能だ。もちろん、イベントログにメッセージを送信することもできる。

一方、単なる統計情報の収集が目的であったり、保存の拒否が運用上大きな影響がある場合には、パッシブスクリーン処理を選択するとよいだろう。この場合でも、アクティブスクリーン処理と同様、保存処理をトリガーとしてメールを送信したり、所定のコマンドを実行することが可能である。

保存を抑止または監視するファイルは、ワイルドカードによって識別されたファイルグループとして定義しておくことができる。既定では、図3のファイルグループが定義されている。

これらの定義は運用に合わせて変更することもでき、必要に応じて新しいグループを作成することも可能だ。

ホームディレクトリのように大量のフォルダが存在する場合には、上位のフォルダにファイルスクリーンの設定を定義するとよい。こうすることで、配下のディレクトリにも同様のスクリーンが適用される。

ファイルスクリーンの運用において注意しなければならないのは、この機能はフォルダへのアクセス権を制限するものではないということだ。フォルダ単位に保存できるファイルを制限することはできるものの、これをユーザーやグループに対して適用することはできない。フォルダへのアクセス権は、別途NTFSアクセス権を使用して制限する必要があることに注意しよう。