【bat】icaclsコマンド完全ガイド｜ファイル・フォルダのアクセス権設定・確認・一括変更・バックアップ復元まで

icacls <パス> [オプション]

主なオプション:
  /grant   [ユーザー]:[アクセス権]    アクセス権を付与（追加）
  /grant:r [ユーザー]:[アクセス権]    アクセス権を付与（置換）
  /deny    [ユーザー]:[アクセス権]    アクセス権を拒否
  /remove  [ユーザー]                 ACLエントリを削除
  /remove:g[ユーザー]                 付与エントリのみ削除
  /remove:d[ユーザー]                 拒否エントリのみ削除
  /reset                              継承可能なACLをリセット
  /setowner[ユーザー]                 所有者を変更
  /T                                  サブフォルダ・ファイルに再帰適用
  /C                                  エラーが出ても処理を続行
  /L                                  シンボリックリンク自体に適用
  /Q                                  ICACLSバナーを表示しない
  /save    <ファイル>                  現在のACLをファイルに保存
  /restore <ファイル>                  保存済みACLを復元
  /inheritance:e/d/r                  継承を有効化/無効化/削除
  /findsid [SID]                      指定SIDを含むACEを持つファイルを検索
  /verify                             ACEのフォーマットを検証

@echo off
:: 単一ファイルの確認
icacls "C:\data\report.txt"

:: フォルダとサブフォルダをすべて確認
icacls "C:\data" /T

:: バナーなしで確認（スクリプト向け）
icacls "C:\data\report.txt" /Q

:: 結果をファイルに保存
icacls "C:\data" /T /Q > C:\logs\acl_check.txt

C:\data\report.txt
  NT AUTHORITY\SYSTEM:(I)(F)
  BUILTIN\Administrators:(I)(F)
  BUILTIN\Users:(I)(RX)
  DOMAIN\yamada:(I)(M)
Successfully processed 1 files; Failed processing 0 files

@echo off
:: ユーザーに読み取り・実行権限を付与（追加）
icacls "C:\data" /grant "BUILTIN\Users":(RX)

:: 同一ユーザーの付与エントリを置き換え（冪等）
icacls "C:\data" /grant:r "DOMAIN\yamada":(M)

:: サブフォルダ・ファイルにも再帰適用
icacls "C:\deploy" /grant:r "BUILTIN\Users":(RX) /T /C /Q

:: NT AUTHORITY\SYSTEMにフルコントロールを付与
icacls "C:\logs" /grant:r "NT AUTHORITY\SYSTEM":(F) /T /C /Q

@echo off
:: 読み取り+実行のみ（書き込み不可・削除不可）
icacls "C:\app" /grant:r "DOMAIN\AppUser":(RD,REA,RA,X,RC,S) /T /C /Q

:: 書き込みのみ（読み取り不可のログ専用フォルダ）
icacls "C:\log_drop" /grant:r "DOMAIN\LogWriter":(WD,AD,WEA,WA) /T /C /Q

@echo off
:: 特定ユーザーの書き込みを拒否
icacls "C:\readonly_data" /deny "DOMAIN\tanaka":(W)

:: Guestsグループの全アクセスを拒否
icacls "C:\sensitive" /deny "BUILTIN\Guests":(F) /T /C /Q

@echo off
:: 特定ユーザーのACEを全削除（付与・拒否どちらも）
icacls "C:\data" /remove "DOMAIN\tanaka"

:: 付与エントリのみ削除（拒否エントリは残す）
icacls "C:\data" /remove:g "DOMAIN\tanaka"

:: 拒否エントリのみ削除（付与エントリは残す）
icacls "C:\data" /remove:d "DOMAIN\tanaka"

:: 複数ユーザーを一括削除（サブフォルダも再帰）
icacls "C:\data" /remove "DOMAIN\OldUser1" /T /C /Q
icacls "C:\data" /remove "DOMAIN\OldUser2" /T /C /Q

@echo off
:: 継承を有効化（デフォルト）
icacls "C:\data" /inheritance:e

:: 継承を無効化（既存の継承ACEはコピーして保持）
icacls "C:\data" /inheritance:d

:: 継承を無効化し、かつ継承ACEを削除（明示的ACEのみ残す）
icacls "C:\data" /inheritance:r

:: サブフォルダ含めて継承を無効化
icacls "C:\data" /inheritance:d /T /C /Q

@echo off
:: ステップ1: 所有権をAdministratorsに取得
takeown /f "C:\problem_folder" /r /d y

:: ステップ2: Administratorsにフルコントロールを付与
icacls "C:\problem_folder" /grant:r "BUILTIN\Administrators":(F) /T /C /Q

:: ---- または ----
:: icaclsで所有者を直接変更（Administratorsに）
icacls "C:\problem_folder" /setowner "BUILTIN\Administrators" /T /C /Q

echo 所有権取得・権限設定完了

@echo off
:: ユーザーのSIDを確認する
wmic useraccount where name="yamada" get sid

:: --- 出力例 ---
:: SID
:: S-1-5-21-123456789-987654321-111111111-1001

:: SIDでACEを指定して権限付与
icacls "C:\data" /grant:r *S-1-5-21-123456789-987654321-111111111-1001:(M)

:: 特定SIDを含むACEを持つファイルを検索
icacls "C:\data" /findsid S-1-5-21-123456789-987654321-111111111-1001 /T

:: 旧アカウントSIDのACEを全削除（ドメイン移行後のクリーンアップ）
icacls "C:\data" /remove *S-1-5-21-123456789-987654321-111111111-1001 /T /C /Q

@echo off
:: フォルダのACLを継承のみの状態にリセット
icacls "C:\data" /reset

:: サブフォルダ・ファイルも再帰的にリセット
icacls "C:\data" /reset /T /C /Q

echo ACLリセット完了

@echo off
:: フォルダとサブフォルダのACLをファイルに保存
icacls "C:\data" /save "C:\backup\data_acl.txt" /T /C /Q

if %errorlevel% equ 0 (
    echo ACLバックアップ完了: C:\backup\data_acl.txt
) else (
    echo バックアップ失敗 (ERRORLEVEL=%errorlevel%)
)

@echo off
:: 保存済みACLを復元
:: ※ /restore は /save で保存したフォルダの「親フォルダ」を指定する
icacls "C:\" /restore "C:\backup\data_acl.txt" /C /Q

echo ACL復元完了

@echo off
setlocal

set FOLDER=C:\shared\sales_data
set DEPT_RW=DOMAIN\SalesTeam
set DEPT_RO=DOMAIN\Managers
set OWNER=BUILTIN\Administrators

:: フォルダ作成（なければ）
if not exist "%FOLDER%" mkdir "%FOLDER%"

:: 現在のACLをバックアップ
icacls "%FOLDER%" /save "%TEMP%\acl_backup.txt" /T /C /Q

:: 継承を無効化し既存ACEをクリア（明示的ACEのみ削除）
icacls "%FOLDER%" /inheritance:r /T /C /Q

:: Administratorsにフルコントロール
icacls "%FOLDER%" /grant:r "%OWNER%":(F) /T /C /Q

:: 営業チームに読み書き（変更）
icacls "%FOLDER%" /grant:r "%DEPT_RW%":(M) /T /C /Q

:: 管理職に読み取りのみ
icacls "%FOLDER%" /grant:r "%DEPT_RO%":(RX) /T /C /Q

:: SYSTEMにフルコントロール（必須）
icacls "%FOLDER%" /grant:r "NT AUTHORITY\SYSTEM":(F) /T /C /Q

echo アクセス権設定完了
icacls "%FOLDER%"

@echo off
:: 使い方: manage_user_permission.bat [add|remove] [ユーザー名] [フォルダパス] [権限]
:: 例: manage_user_permission.bat add DOMAIN\yamada C:\data M

setlocal
set ACTION=%1
set USERNAME=%2
set FOLDER=%3
set PERM=%4

if "%ACTION%"=="" goto usage
if "%USERNAME%"=="" goto usage
if "%FOLDER%"=="" goto usage

if /i "%ACTION%"=="add" (
    if "%PERM%"=="" set PERM=RX
    icacls "%FOLDER%" /grant:r "%USERNAME%":(%PERM%) /T /C /Q
    echo [追加] %USERNAME% -> %FOLDER% (%PERM%)
    goto end
)

if /i "%ACTION%"=="remove" (
    icacls "%FOLDER%" /remove "%USERNAME%" /T /C /Q
    echo [削除] %USERNAME% -> %FOLDER%
    goto end
)

:usage
echo 使い方: %0 [add^|remove] [ユーザー] [フォルダ] [権限(省略可)]
exit /b 1

:end

@echo off
setlocal enabledelayedexpansion
:: 退職者リスト（users_to_remove.txt に1行1ユーザー）
set LIST=C:\admin\users_to_remove.txt
set TARGET=C:\shared

if not exist "%LIST%" (
    echo リストファイルが見つかりません: %LIST%
    exit /b 1
)

:: バックアップ
icacls "%TARGET%" /save "%TEMP%\acl_before_cleanup.txt" /T /C /Q
echo ACLバックアップ: %TEMP%\acl_before_cleanup.txt

:: ユーザーごとに削除
for /f "tokens=* delims=" %%u in ('type "%LIST%"') do (
    echo 削除中: %%u
    icacls "%TARGET%" /remove "%%u" /T /C /Q
    if !errorlevel! equ 0 (
        echo [OK] %%u の権限を削除しました
    ) else (
        echo [警告] %%u の削除でエラー発生
    )
)

echo 処理完了

@echo off
setlocal enabledelayedexpansion
set LOG_DIR=C:\logs\acl_audit
set DATE_STR=%DATE:~0,4%%DATE:~5,2%%DATE:~8,2%

:: 前日の日付を計算（PowerShell使用）
for /f %%d in ('powershell -NoProfile -Command "(Get-Date).AddDays(-1).ToString('yyyyMMdd')"') do set YESTERDAY=%%d

if not exist "%LOG_DIR%" mkdir "%LOG_DIR%"

:: 監査対象フォルダ
set TARGETS[0]=C:\data
set TARGETS[1]=C:\shared
set TARGETS[2]=C:\deploy

for /L %%i in (0,1,2) do (
    set FOLDER=!TARGETS[%%i]!
    set SAFE=!FOLDER:\=_!
    set TODAY_LOG=%LOG_DIR%\!SAFE!_%DATE_STR%.txt
    set YESTERDAY_LOG=%LOG_DIR%\!SAFE!_%YESTERDAY%.txt

    :: 今日のACLを保存
    icacls "!FOLDER!" /T /Q > "!TODAY_LOG!" 2>&1

    :: 前日ログがあれば差分チェック
    if exist "!YESTERDAY_LOG!" (
        fc /b "!YESTERDAY_LOG!" "!TODAY_LOG!" > nul 2>&1
        if !errorlevel! neq 0 (
            echo [警告] ACL変更検知: !FOLDER!
            echo 差分: fc "!YESTERDAY_LOG!" "!TODAY_LOG!"
        )
    )
)

echo ACL監査完了

@echo off
setlocal
set SRC=C:\source
set DST=C:\destination

:: /COPYALL でACLも含めてコピー（通常）
robocopy "%SRC%" "%DST%" /E /COPYALL /R:3 /W:5 /LOG:"%TEMP%\robocopy.log"

:: --- または ---
:: /COPY:DAT でACLはコピーせず、コピー後にicaclsで設定
robocopy "%SRC%" "%DST%" /E /COPY:DAT /R:3 /W:5

:: コピー先のACLをリセットして親フォルダから継承させる
icacls "%DST%" /reset /T /C /Q
echo コピーおよびACLリセット完了

@echo off
setlocal

set APP_DIR=C:\app\myapp
set LOG_DIR=%APP_DIR%\logs
set CONF_DIR=%APP_DIR%\config
set DATA_DIR=%APP_DIR%\data
set APP_USER=DOMAIN\AppServiceUser

:: フォルダ作成
for %%d in ("%APP_DIR%" "%LOG_DIR%" "%CONF_DIR%" "%DATA_DIR%") do (
    if not exist %%d mkdir %%d
)

:: Administratorsにフルコントロール
icacls "%APP_DIR%" /grant:r "BUILTIN\Administrators":(F) /T /C /Q
icacls "%APP_DIR%" /grant:r "NT AUTHORITY\SYSTEM":(F) /T /C /Q

:: アプリユーザーの最小権限設定
:: - ルートは読み取りのみ
icacls "%APP_DIR%" /grant:r "%APP_USER%":(RX) /C /Q

:: - logsは書き込み可（読み取り不可）
icacls "%LOG_DIR%" /grant:r "%APP_USER%":(WD,AD,WEA,WA) /T /C /Q

:: - configは読み取りのみ
icacls "%CONF_DIR%" /grant:r "%APP_USER%":(RX) /T /C /Q

:: - dataは読み書き可（削除のみ不可）
icacls "%DATA_DIR%" /grant:r "%APP_USER%":(M) /T /C /Q

echo アプリACL設定完了
icacls "%APP_DIR%"

@echo off
setlocal

:: === 旧サーバー側: ACLをエクスポート ===
set EXPORT_DIR=C:\migration\acl_export
if not exist "%EXPORT_DIR%" mkdir "%EXPORT_DIR%"

icacls "C:\data" /save "%EXPORT_DIR%\data_acl.txt" /T /C /Q
icacls "C:\shared" /save "%EXPORT_DIR%\shared_acl.txt" /T /C /Q

echo エクスポート完了。%EXPORT_DIR% を新サーバーにコピーしてください。

:: === 新サーバー側: ACLをインポート ===
:: ※ 保存したファイルをCドライブ直下に転送し、以下を実行
rem icacls "C:\" /restore "%EXPORT_DIR%\data_acl.txt" /C /Q
rem icacls "C:\" /restore "%EXPORT_DIR%\shared_acl.txt" /C /Q
rem echo インポート完了