VBScriptを掌握する極限の知見：icaclsとShell.ExecによるファイルACL自動検証の極意
開発プロジェクトの現場において、セキュリティ監査やデプロイメントの自動化プロセスで最も頭を悩ませる問題の一つが「ファイルアクセス権限（ACL）の検証」だ。
「指定したサービスアカウントから、本当にその設定ファイルへ書き込みができるのか？」
「意図しない一般ユーザーに、機密データフォルダの読み取り権限が残っていないか？」
これを目視で確認するなど、エンジニアリングの冒涜であり、ヒューマンエラーの温床でしかない。
今回は、レガシーと侮るなかれ、Windows環境の根底を支える VBScript と `icacls` コマンド、そして非同期実行の要である `WshShell.Exec` を完璧に組み合わせ、ファイルアクセス権限をプログラム的に完全自動検証するプロダクションコードを伝授する。
—
なぜ「WScript.Run」ではなく「WshShell.Exec」なのか？
業務自動化でよく見かける悪手の一つが、`WshShell.Run` を使ってコマンドを実行し、その出力をいったんテキストファイルにリダイレクトさせてから `FileSystemObject` で読み込むという非効率なアプローチだ。
‘ 【アンチパターン】ファイルI/Oを伴う泥臭い実装
Dim shell, fso
Set shell = CreateObject(“WScript.Shell”)
Set fso = CreateObject(“Scripting.FileSystemObject”)
‘ ディスクにゴミファイルを生成し、I/O待機が発生する最悪のパターン
shell.Run “cmd.exe /c icacls C:\Data\config.json > C:\temp\acl_result.txt”, 0, True
Dim stream
Set stream = fso.OpenTextFile(“C:\temp\acl_result.txt”, 1)
Dim output: output = stream.ReadAll
stream.Close
fso.DeleteFile “C:\temp\acl_result.txt”
このアプローチは、ディスクへの書き込み・読み込み・削除のオーバーヘッドが発生するだけでなく、競合状態（Race Condition）や権限エラーの罠に容易に落ちる。
プロフェッショナルな解：標準出力を直接キャプチャする
`WshShell.Exec` メソッドを使えば、プロセスの標準出力（`StdOut`）ストリームを直接メモリ上に取得できる。ディスクを汚さず、高速かつアトミックにコマンドの実行結果をVBScriptの世界へ引き込むことが可能だ。
—
プロダクションコード：ACL検証エンジン
以下のコードは、指定したファイル／フォルダに対して、特定のユーザー（またはグループ）が意図した権限（Read / Write / Full）を持っているかを厳密に判定する、実戦投入可能なスクリプトである。
Option Explicit
‘ ==============================================================================
‘ 実行メインルーチン
‘ ==============================================================================
Sub Main()
Dim targetPath, targetUser, requiredRight
targetPath = “C:\AppConfig\settings.ini”
targetUser = “NT AUTHORITY\NETWORK SERVICE”
requiredRight = “M” ‘ M: 変更(Modify) または W: 書き込み(Write)
WScript.Echo “=== ACL検証開始 ===”
WScript.Echo “ターゲット: ” & targetPath
WScript.Echo “検証ユーザ: ” & targetUser
WScript.Echo “要求権限 : ” & requiredRight & vbCrLf
Dim result
result = VerifyFileACL(targetPath, targetUser, requiredRight)
If result Then
WScript.Echo “[SUCCESS] 権限検証に合格しました。セキュリティ要件を満たしています。”
WScript.Quit(0)
Else
WScript.Echo “[FAILURE] 権限検証に失敗しました。アクセス権が不足しているか、設定が不正です。”
WScript.Quit(1)
End If
End Sub
‘ ==============================================================================
‘ 指定ファイルのACLを解析し、特定ユーザーの権限を検証する関数
‘ @param {String} filePath – 検証対象のファイルパス
‘ @param {String} userName – 検証するアカウント名（例: BUILTIN\Administrators）
‘ @param {String} permType – 期待する権限フラグ (R:読取, W:書込, M:変更, F:フルコントロール)
‘ @return {Boolean} – 条件を満たしていれば True
‘ ==============================================================================
Function VerifyFileACL(filePath, userName, permType)
VerifyFileACL = False
Dim fso
Set fso = CreateObject(“Scripting.FileSystemObject”)
If Not fso.FileExists(filePath) And Not fso.FolderExists(filePath) Then
WScript.Echo “[ERROR] 対象パスが存在しません: ” & filePath
Exit Function
End If
Dim shell, exec, cmd
Set shell = CreateObject(“WScript.Shell”)
‘ icaclsを実行し、標準出力をキャプチャ
‘ /C: エラーが発生しても続行
cmd = “icacls “”” & filePath & “”””
Set exec = shell.Exec(cmd)
‘ プロセスが完了するまでブロック（WshShell.Execの極意）
Do While exec.Status = 0
WScript.Sleep 50
Loop
Dim stdOutOutput
stdOutOutput = exec.StdOut.ReadAll
‘ デバッグ用に出力を確認したい場合はコメントアウトを解除
‘ WScript.Echo “— icacls Raw Output —” & vbCrLf & stdOutOutput
‘ 出力を行単位で解析
Dim lines, i, line, isTargetUserFound, hasPermission
lines = Split(stdOutOutput, vbCrLf)
isTargetUserFound = False
hasPermission = False
‘ ユーザー名の表記ゆれ（大文字小文字やドメイン付与）を考慮して正規化または部分一致を見る
Dim normalizedTargetUser
normalizedTargetUser = UCase(Trim(userName))
For i = 0 To UBound(lines)
line = Trim(lines(i))
‘ 対象ユーザーが含まれている行を探す
‘ icaclsの出力形式: [ファイルパス] [ドメイン\ユーザー:(権限)]
If InStr(UCase(line), normalizedTargetUser) > 0 Then
isTargetUserFound = True
WScript.Echo “[DEBUG] 一致するエントリを発見: ” & line
‘ 権限の評価
‘ 例: NT AUTHORITY\NETWORK SERVICE:(M)
‘ 要求された権限が含まれているかチェック
If CheckPermissionFlags(line, permType) Then
hasPermission = True
Exit For
End If
End If
Next
If Not isTargetUserFound Then
WScript.Echo “[WARNING] 指定されたユーザーのエントリが見つかりませんでした。”
Exit Function
End If
VerifyFileACL = hasPermission
End Function
‘ ==============================================================================
‘ icaclsの出力行から、指定された権限が付与されているかを判定する補助関数
‘ ==============================================================================
Function CheckPermissionFlags(aclLine, requiredPerm)
CheckPermissionFlags = False
‘ 括弧内の権限文字列を抽出する簡易パース (例: (M), (R,W), (F))
Dim startPos, endPos, permString
startPos = InStr(aclLine, “(“)
endPos = InStr(aclLine, “)”)
If startPos > 0 And endPos > startPos Then
permString = Mid(aclLine, startPos + 1, endPos – startPos – 1)
‘ フルコントロール(F)を持っている場合は、下位の権限をすべて内包しているとみなす
If InStr(UCase(permString), “F”) > 0 Then
CheckPermissionFlags = True
Exit Function
End If
‘ 変更(M)を持っている場合、読取(R)や書込(W)を内包する
If UCase(requiredPerm) = “R” or UCase(requiredPerm) = “W” Then
If InStr(UCase(permString), “M”) > 0 Then
CheckPermissionFlags = True
Exit Function
End If
End If
‘ 完全一致または個別権限の確認
If InStr(UCase(permString), UCase(requiredPerm)) > 0 Then
CheckPermissionFlags = True
Exit Function
End If
End If
End Function
‘ 実行
Main()
—
бед(Bad)な設計を避けるためのアーキテクチャ上の注意点
1. 文字コードと日本語ロケールの罠
`icacls` は実行環境のOS言語（日本語版ならShift_JIS / CP932）で出力を行う。VBScriptの `StdOut.ReadAll` は内部でUnicode変換を行ってくれるが、ユーザー名やグループ名に日本語（日本語ローカルアカウントや日本語グループ名）が含まれる場合、コマンドプロンプトのコードページ差異で文字化けを起こすリスクがある。
- 対策: セキュリティ検証の対象アカウントには、可能な限り `NT AUTHORITY\NETWORK SERVICE` や `BUILTIN\Administrators` といった言語依存しないSID既定の英語名、あるいはSID（S-1-5-…）を直接指定して検証することを強く推奨する。
2. オブジェクトのライフサイクルとメモリリーク
VBScriptはCOMコンポーネントの参照カウントによってメモリ管理を行っている。ループ内で `CreateObject` を乱発するとメモリリークの原因になるため、インスタンスは極力スコープの最上位で一度だけ生成し、再利用する設計を貫くこと。今回のコードでは関数ごとに適切にカプセル化し、不要なグローバル汚染を防いでいる。
3. プロセスブロック（同期）の確実な担保
`WshShell.Exec` は非同期でプロセスを起動するため、直後に `StdOut` を読みに行くと空データが返る競合が発生する。コード内の `Do While exec.Status = 0: WScript.Sleep 50: Loop` というポーリング処理は、VBScriptで安全にプロセス完了を待つための極めて重要なイディオムである。
—
結論：自動化の信頼性を極限まで高めよ
ファイルシステムのセキュリティ権限は、デプロイ後のサイレントエラー（「ファイルに書き込めません」という例外ログの嵐）の最大の原因である。
今回紹介した `WshShell.Exec` と `icacls` を組み合わせたアプローチを取り入れることで、CI/CDパイプラインの一部や、毎朝のサーバーインスペクションスクリプトとして、極めてセキュアかつ高速にファイルACLを自動検証することが可能となる。
レガシーな言語と言われようとも、基盤の隅々まで理解し尽くしたコードは、現代の複雑な自動化ツール群に勝るとも劣らない強靭な牙城を築く。現場のエンジニア諸君の健闘を祈る。
