【ファイルACL確認】icacls コマンドと Shell.Exec を組み合わせたアクセス権限の自動検証
レガシーシステムの深部において、VBScriptはいまだインフラストラクチャの神経網として静かに、そして強靭に稼働し続けている。GUIの管理コンソールがブラックボックス化し、数千に及ぶファイル群のアクセス制御リスト（ACL）が意図通りに構成されているかを検証する際、我々シニアエンジニアが頼るべきは、OSのプリミティブなCUIツールとスクリプトの結合による「確実な事実の抽出」に他ならない。
今回は、`icacls` コマンドの出力を `WshShell.Exec` によって非同期の標準出力ストリームとしてキャプチャし、メモリのオーバーヘッドを極限まで抑制しながら、特定のセキュリティプリンシパルに対する権限（Read/Write）をプログラム的に判定・検証するプロダクションレベルのVBScriptアーキテクチャを提示する。
—
1. アーキテクチャの要件定義と設計思想
ファイルシステムへのアクセス権限検証において、WMIの `Win32_LogicalFileSecuritySetting` を用いるアプローチは、そのオブジェクト構築コストの高さとCIMリポジトリの肥大化・リークのリスクから、大規模バッチ処理においては悪手となり得ます。
対して、Windows標準のネイティブコマンドである `icacls.exe` は、NTFSドライバのレベルで解釈されるセキュリティ記述子を直接テキストとして高速に吐き出します。これを `WScript.Shell` の `Exec` メソッド（`Run` ではなく）で起動することで、以下のメリットを享受できます。
- 標準出力の完全なストリーム制御: プロセスの終了を待たずに、あるいは終了と同時にバッファから直接テキストをメモリ上に読み込める。
- 一時ファイルの排除: 実行結果をファイルシステムに書き出す必要がないため、I/Oボトルネックやアクセス権競合のエラー（Error 32: The process cannot access the file…）を物理的に根絶できる。
- 終了コード（Exit Code）の厳密な評価: コマンドの成否だけでなく、システムエラーの検知が容易。
—
2. 実装コード：堅牢性とメモリ最適化を極めたACL検証スクリプト
以下のコードは、指定されたファイル／フォルダに対し、特定のユーザーグループが「読み取り（R）」および「書き込み（W）または変更（M）」の権限を有しているかを厳密にパースする実用スクリプトである。
Option Explicit
‘ ==============================================================================
‘ Script Name: ValidateFileACL.vbs
‘ Description: icaclsとWshShell.Execを用いた高速ACL検証エンジン
‘ Author: Chief Architect
‘ ==============================================================================
Const TargetPath = “C:\SecureData\Confidential.dat”
Const TargetAccount = “BUILTIN\Administrators” ‘ 検証対象のユーザーまたはグループ
Dim exitCode
exitCode = VerifyFileAccess(TargetPath, TargetAccount)
Select Case exitCode
Case 0
WScript.Echo “[SUCCESS] 権限検証完了: 必要なアクセス権が付与されています。”
WScript.Quit 0
Case 1
WScript.Echo “[WARNING] 権限検証完了: 指定されたアカウントに十分な権限がありません。”
WScript.Quit 1
Case Else
WScript.Echo “[ERROR] 実行時例外またはファイルが存在しません。ExitCode: ” & exitCode
WScript.Quit 2
End Select
‘ ——————————————————————————
‘ 関数名: VerifyFileAccess
‘ 概要: icaclsを実行し、標準出力を解析してアクセス権を判定する
‘ 戻り値: 0 = 権限あり, 1 = 権限なし/不足, 99 = 実行エラー
‘ ——————————————————————————
Function VerifyFileAccess(filePath, accountName)
Dim wshShell, execObj, cmd, outputLine, hasRead, hasWrite
Dim fso
‘ 事前チェック: ファイルの存在確認（無駄なプロセス起動の抑制）
Set fso = CreateObject(“Scripting.FileSystemObject”)
If Not fso.FileExists(filePath) And Not fso.FolderExists(filePath) Then
VerifyFileAccess = 99
Set fso = Nothing
Exit Function
End If
Set fso = Nothing
‘ icacls コマンドの構築（出力言語依存を避けるため、そのままパースする設計）
‘ 例: icacls “C:\path\to\file”
cmd = “icacls “”” & filePath & “”””
Set wshShell = CreateObject(“WScript.Shell”)
‘ Execメソッドによるプロセス起動（標準出力をストリームとして取得）
On Error Resume Next
Set execObj = wshShell.Exec(cmd)
If Err.Number <> 0 Then
WScript.Echo “[FATAL] Process execution failed: ” & Err.Description
VerifyFileAccess = 99
On Error GoTo 0
Set wshShell = Nothing
Exit Function
End If
On Error GoTo 0
hasRead = False
hasWrite = False
‘ ストリームから1行ずつ読み込み、メモリ消費を最小限に抑える
Do While Not execObj.StdOut.AtEndOfStream
outputLine = execObj.StdOut.ReadLine()
‘ 対象アカウントが含まれる行を探索
‘ icaclsの出力形式例: DOMAIN\user:(OI)(CI)(F) または DOMAIN\user:(R)
If InStr(1, outputLine, accountName, vbTextCompare) > 0 Then
‘ 簡易的な権限トークンの解析
‘ (F): フルコントロール, (M): 変更, (W): 書き込み, (R): 読み取り
If InStr(1, outputLine, “(F)”, vbTextCompare) > 0 Or _
InStr(1, outputLine, “(M)”, vbTextCompare) > 0 Then
hasRead = True
hasWrite = True
End If
If InStr(1, outputLine, “(R)”, vbTextCompare) > 0 Then
hasRead = True
End If
If InStr(1, outputLine, “(W)”, vbTextCompare) > 0 Then
hasWrite = True
End If
End If
Loop
‘ プロセス終了の完全な同期化（ゾンビプロセスの防止）
Do While execObj.Status = 0
WScript.Sleep 50
Loop
‘ 判定ロジック（ここではReadとWriteの両方を必須とする例）
If hasRead And hasWrite Then
VerifyFileAccess = 0
Else
VerifyFileAccess = 1
End If
‘ 【重要】COMオブジェクトの明示的解放
‘ VBScriptのガベージコレクションに依存せず、スコープを抜ける前に即時破棄する
Set execObj = Nothing
Set wshShell = Nothing
End Function
—
3. チーフアーキテクトが解説する「死角のない」実装ポイント
① `WScript.Shell.Run` ではなく `Exec` を選ぶべき理由
多くのレガシーコードでは、コマンドの実行に `Run` メソッドが使われ、結果をテキストファイル（`> result.txt`）にリダイレクトして、それを後から `FileSystemObject` で読み込むという冗長な手法が取られています。
しかし、この手法は以下の致命的な欠陥を持ちます。
- ディスクI/Oが発生するため、同時実行数が上がるとOSレベルでスループットが低下する。
- リダイレクト先のファイル名が衝突する（マルチスレッドや並行バッチ実行時）。
`Exec` メソッドはプロセス間パイプ（Anonymous Pipe）を直接メモリ上に構築するため、I/Oコストがゼロであり、リアルタイムなストリーム処理が可能となります。
② VBScriptにおけるメモリ管理とオブジェクトのライフサイクル
VBScriptの背後にあるCOMランタイムは、参照カウント方式（Reference Counting）によってメモリ管理を行っています。スクリプトが終了すれば自動的に解放されるという甘い認識は、数百のファイルをループ処理するエンタープライズバッチにおいて、メモリリークやハンドル枯渇（Handle Exhaustion）を引き起こします。
上記のコードでは、関数内の局所変数であっても、処理が完了した瞬間に `Set execObj = Nothing` および `Set wshShell = Nothing` を明示的に実行し、OSのリソースを即座に解放する設計としています。この規律こそが、何週間も無停止で稼働するタスクスケジューラ上の常駐バッチを支える唯一の基盤です。
③ 国際化（i18n）環境における `icacls` の罠
Windowsのコマンド出力はOSの表示言語（UILang）に依存します。例えば、英語環境では成功時に `Successfully processed` と出力されますが、日本語環境では `正常に処理されました` と出力されます。
しかし、`icacls` が出力するアクセス権のトークン（`(F)`, `(M)`, `(R)`, `(W)`, `(OI)`, `(CI)` など）は、言語を問わずワールドワイドで共通です。本スクリプトがユーザー名と括弧内の権限フラグのみを文字列検索（`InStr`）の対象としているのは、多言語混在環境や将来的なOSの言語パッチ適用時においても動作が破綻しないための防衛的プログラミングの現れです。
—
4. 総括
VBScriptは過去の遺物ではない。APIの深い理解と、OSの挙動に対する洞察を持って書かれたスクリプトは、現代の複雑な.NET製ツール群よりも軽量で、かつ強力なインフラ自動化の武器となり得ます。
「なぜそのメソッドを使うのか」「なぜその順序でメモリを解放するのか」。すべてのコードに理由を持たせること。それこそが、レガシーシステムの信頼性を極限まで高める唯一無二のエンジニアリングなのです。
