リモートフォルダにバックアップするには、どのような権限が必要ですか？

Question

現在、Windows Serverバックアップを使用しており、非特権アカウントでスケジュールバックアップを実行しようとしています。

サーバーexchange.dom.example.comの完全バックアップを作成したい。
このタスクに使用する新しいドメインユーザー「バックアップ」を作成しました。
バックアップの書き込み先となる\dom.example.com\Backup\ExchangeというDFSストレージの場所を作成しました。
これは、storage0.dom.example.comという名前のサーバー\storage0.dom.example.com\Exchange上のSMB共有を指しています。
SMB share \storage0.dom.example.com\Exchangeへの「バックアップ」フルアクセス権限をユーザーに付与しました。

さて、ここから混乱が始まります。ドメインコントローラーの「Backup-Operators」グループに「Backup」を追加しましたが、ServerBackupでバックアップジョブを作成できませんでした。そこで、自分のユーザーアカウントでジョブを作成し、後でスケジュールされたタスクを変更しようとしました。その後、ユーザーを「バックアップ」に切り替えようとすると、「バックアップ」はシステムへのログオンを許可されていないというメッセージが表示されます。

そこで、local "Backup-Operators"グループに "Backup"を追加しました。これで、タスクを問題なく作成できます。ただし、実行すると、エラーコード2155348039で失敗し、ターゲットの場所に書き込めなかったことが通知されます。

「管理者」グループに「バックアップ」を追加すると、すべてが完全に実行されます。したがって、これは権限に関連する問題であると想定する必要があります。しかし、他にどのような権限を設定する必要がありますか？

また、ProcessMonitorでエラーを再確認しました。 DFSロケーションACCESS_DENIEDに書き込もうとしたときに、wbengine.exeから\dom.example.com\Backup\Exchange\TempFile.tmpエラーがキャプチャされました。

また、DFSを使用せずに（SMB共有に直接書き込むことによって）バックアップを設定しようとしましたが、同じ問題が発生します。

exchange.dom.example.comとpushdで\storage0.dom.example.com\Exchangeへの道のりで「バックアップ」としてコマンドプロンプトを開始しました。これは私が書くことができない唯一の場所です。どのサブフォルダーにも問題なく書き込むことができます。 Exchangeには入りません。

Ryan Ries · Accepted Answer

最小特権の原則に固執しようとしたことを称賛します。しかし、私はあなたが軌道から外れたところを見ていると思います。あなたが言ったところ：

ドメインコントローラーの「Backup-Operators」グループに「Backup」を追加しました

ADの組み込みコンテナーは、本質的にすべてのドメインコントローラーの共有ローカルグループのようなグループを保持します。 ADユーザーとコンピューターのバックアップオペレーター組み込みグループにユーザーを追加すると、そのユーザーにはドメインコントローラーに対するバックアップオペレーター特権のみが付与されます。そのため、ドメイン内の非DCサーバーには影響しません。

ソース： http://technet.Microsoft.com/en-us/library/cc756898（v = ws.10）.aspx

たとえば、Backup Operatorsグループのメンバーは、ドメイン内のすべてのドメインコントローラーに対してバックアップ操作を実行する権利を持っています。

使用するアカウントは、各サーバーのBackup Operatorsローカルグループのメンバーである必要があります。バックアップされているアカウントと、バックアップを保持する共有をホストしているサーバーです。ドキュメントによると、それだけで、バックアップされるファイルに対するファイルのアクセス許可に関係なく、バックアップユーザーアカウントがバックアップの実行に必要なファイルにアクセスできるようになります。

ファイル共有をホストしているコンピューターのBackupOperatorsローカルグループのメンバーになると、おそらく共有にバックアップを書き込むための書き込み権限が付与されないため、それに応じてそれらの権限を付与する必要があります。バックアップユーザーにフルコントロールの共有アクセス許可を与えることをお勧めしますが、NTFSレベルでの読み取り/書き込みアクセス許可だけです。