質問
「一切アクセス制限がかかっていない、NASみたいなファイルサーバー」で、
「全社共有フォルダが一時置場として周知しているにも関わらず」という2条件からすると、
「いつの間にか全社共有フォルダに置いてあったファイルが削除された!復活して欲しい!」
という要求自体に無理があります。私なら対応しません。(というより、そういう無理難題をユーザが言うはずがありません。最近のユーザは若手を中心にITリテラシーのある方々が増えてきています。ユーザの常識からはずれていては組織の利益を低下させかねませんからね)
もし、2条件に伴うリスクを職場のみなさんが理解されていないとすれば、それは周知した上で、部署ごととか身分ごととかでアクセス制御をかける必要がありますね。こうすることが我が社のためと、徹底改善に取り組むのがよいでしょう。それが bunnymenさんの実績になります。実績とは技術的取り組みのこともあるでしょうが、周囲の人々のため、信念を実現すべく説得することもIT管理者の重要な勤めですね。
コメント(1)さん と同感です。
私のところでも
各部門専用のフォルダ (その部門の人しか見れない その部門の管理者が管理)
各部門管理のフォルダ (その部門の管理者が管理して他の部門の特定の人にも見れるように設定している
全社的に解放されているフォルダ
がありますが いずれも個別ファイルの復元を保証してはいません。
ただし要請があれば復元作業を行いますが、明確にファイルを指定されないと受け付けません。(「なんだか判らないが全部戻して」と言われたのでは逆に障害を起こすかもしれないからです)
実際には2〜3ヶ月に1件あるか/ないかといった頻度です。
最近のユーザは若手を中心にITリテラシーのある方々が増えてきています
ということは無いですね。不完全な知識をひけらかして無理難題を言う若手は多いです。(先ほどの例では「情シスはバックアップの責任があるのだからちゃんと復元しろ」と要求してきて調べてみるとバックアップにはそのファイルは無くて、さらに状況を聞いたら「さっき作ったばかりのファイル」だった、ということがありましたね)
運用に関する基本方針としては、すでに有用な回答がされていると思いましたので、私からは技術的な事だけを書いておきます。
勤務先のシステムで同様のケースの対応は、ほとんど「ボリューム・シャドウ・コピー・サービス(VSS)」で対応しています。どうしても見つからない場合(VSSの履歴に無い場合)には、さらにバックアップ履歴を調査する事もあります。
(VSSの利用は、昨日あったファイルが消えているとか、お昼まであったファイルがいつの間にか無いとか、です)(VSSの頻度は、1日4回程度です。深夜に行われるバックアップまでの、補助的な位置づけです)
ただし、「ファイル名を全く覚えていない」と言う場合には、調査に多大な労力が必要なため、ファイルの重要度やこちら側の手間などを考慮して、回答をするようにしています。(せめて、フォルダの名前や、WordかExcelか、ファイル名の一部だけあると、探そうかなという気にもなりますが)
なお、本当はクライアントPC側からもVSSの復元が可能なのですが、あえてお知らせをしていません。VSSは使い方を誤ると、とんでもない結果になるためです。(共有フォルダのファイル全体が、お昼の時点に戻ってしまう、とか)(本当は、ITリテラシーを上げていくのが最善だとは思いますが、現実はなかなか難しい事と、焦っている時は誰でもミスをしやすい事を考えると、ファイルを消した当人以外が復活作業するのが良いと思います)
上記のとおり、技術だけではカバー出来ない部分も多くあるので、運用体制も含めてご検討ください。
自分のところで権限設定のない運用から、権限を設定した運用に変更したときの経験を書いておきます。参考になれば。
1.古いサーバーは一定期間を置いて読み取り専用にした。
従って、以降このサーバーから「ファイルがなくなる」ことはないので、ファイルの捜索には対応しない。
2.新しいファイルサーバーには各課レベルでアクセス制限を行い、その直下に「秘匿」「公開」「共有」の3フォルダを作成。
3.課の直下には課員も書けない。
4.「秘匿」フォルダは課員しか読み書きできない。管理者も見れないのでバックアップから戻すときは稟議&バックアップデータの検索をその課の職員同席で行う。
5.「公開」フォルダは課員しか書けないが、全体で読み取り可能。バックアップデータの検索はその課の職員同席で行う。
6.「共有」フォルダは誰でも書けるが管理責任はその課にあり、バックアップは取らない。このフォルダに置いたものは誰に変更されても文句は言わない。(実は古いファイルを定期的に削除するスクリプトを流している)
ポイントは、責任を各課(4〜8人程度のグループ)まで落とし込むことで、「いつのまにか誰かが」をなくすことです。
これでユーザーに強気で「自分のところの責任でしょ?」と言えるので。
ファイルの復旧もその課の人に来てもらって端末に座らせて「勝手に探して」と言います。
そのようなサーバーの場合、仕組み的な物で対処するのは難しいと思います。手間を掛けたくないのであれば、運用で逃げるのが手かと。
【 実際に私がしている対応 】
責任者の名前を、全てのフォルダ名の末尾に入れる。(例:稟議書フォルダ_すずき)
誰の物か明記してあれば、他人が勝手に消す事はないでしょうし、消されてまずい物は、他人の管理化には保存しないでしょう。相互に監視させる、という意味合いも含んでいます。名前が入っていないフォルダは、管理者側で見つけ次第、消すか他のサーバーに勝手に移動します。
私の個人的な考えですが、バックアップや操作ログは、システム障害があった時、又は会社として重大な問題が発生した時の為に取る物であると考えています。よって、利用者からの依頼で調査したりする事は原則ありません。どうしても、という場合は、必ず上司を通してもらっています。そこで1枚フィルタを掛けてもらうんです。
質問
WindowsDomain環境で、WindowsServer2003のファイルサーバーを利用しています。
拠点が数十箇所あり、拠点間はIP-VPNで接続しており、そのファイルサーバーには
各拠点からアクセスできるようになっています。
そのファイルサーバー上には、共有スペース目的で、アクセス制限のかかっていない
フォルダ(以下、全社共有フォルダ)を設置しており、
部署間のファイルのやり取りとかの一時的なファイル置場として利用されています。
実は弊社では、結構最近まで一切アクセス制限がかかっていない、NASみたいなファイルサーバーが
稼動しており、恥ずかしながらアクセス制限のかかったファイルサーバーは
浸透しているとは言えません。
そんな経緯もあり、全社共有フォルダが一時置場として周知しているにも関わらず、
「いつの間にか全社共有フォルダに置いてあったファイルが削除された!復活して欲しい!」
などという要求がよくあがってきます。
さらに下手すると、そのファイル名が正確にわからなかったりします。
そこで皆さんにアドバイスいただきたいのですが、
・上記のような要求にどこまで応えていますか?
・上記のような要求に迅速かつ容易に応えるために、どのようなソリューションが
お勧めですか?
現状導入している某監査ログツールでは、当該のファイルに誰が最後に
アクセスしたのかまではわかるのですが、削除したのかどうか明確にわかりません。
また、それを監査ログツールから検索するのにも、使い辛い上に
検索にえらく時間がかかり、結構な作業となります。
また、バックアップ先がわかったところでテープから戻す必要があるので、
非常に面倒です。
D2D2T構成にするとか、シャドウコピーを導入するとか、概念的なことは
ぼんやり頭にあるのですが、情報不足(勉強不足?)で決め手に欠いています。
皆さんよろしくお願いします。