Active Directoryのユーザーを、OUごと間違えて消してしまった。気づいたときには、削除はもうほかのドメインコントローラー（DC）にも複製されていて、どのDCを見ても戻っていません。

ここで最初に浮かぶのが「バックアップから戻せばいい」です。ただ、ADの復元は普通のファイルサーバーの復元とは違います。DCのバックアップをそのまま戻しただけでは、消したオブジェクトはまた消えます。 ほかのDCが「それは削除済み」という新しい情報を持っているので、複製で上書きされるからです。

この記事は、メンバー限定動画「Active Directory入門 Part 12：バックアップからの復元」と、無料動画「Active Directory入門 Part 1」「ドメインコントローラー構築時の落とし穴」などを素材に、誤って消したオブジェクトを戻すときの判断をまとめたものです。手順の公式の説明は2026年10月25日時点のMicrosoft Learnで確認しました。先に結論を書きます。

  1. 最初に見るのはバックアップではなく、ADのごみ箱。 有効になっていて期限内なら、管理センターから属性ごと戻せる
  2. ごみ箱が無効なら「権限のある復元」。 ディレクトリサービス復元モード（DSRM）でシステム状態を戻し、ntdsutil で戻したオブジェクトに「こちらが正しい」という印を付ける
  3. 印を付ける範囲は、できるだけ狭くする。 OUごと戻すと、OUの中で削除後に変えたパスワードやグループもバックアップの時点に巻き戻る
  4. 使えるバックアップには期限がある。 既定で180日。それより古いシステム状態は、戻す材料にならない

まず、ごみ箱で戻せないかを確かめる

ADには、Windows Server 2008 R2から「Active Directoryのごみ箱」があります。公式の「Active Directory 管理センターを使用した高度な AD DS 管理 (レベル 200)」によると、ごみ箱が有効なら、Active Directory管理センターのドメインの下に「削除済みオブジェクト」コンテナーが現れ、そこから右クリックの「復元」で元の場所に戻せます。グループのメンバーシップも属性も保持されたまま戻るのが、ほかの方法との大きな違いです。

同じページに、使う前に知っておく条件がまとまっています。

条件 内容
前提 フォレストの機能レベルがWindows Server 2008 R2以上。有効にするのはEnterprise Adminsのメンバー
有効にした後 無効には戻せない。データベース（NTDS.DIT）は全DCで大きくなっていく
保持期間 msDS-deletedObjectLifetime に従う。既定は tombstoneLifetime と同じで、Windows Server 2003 SP1以降で作ったフォレストなら180日
OUごと消したとき 入れ子のツリーは1回の操作では戻らない。親のOUを先に戻し、次にその中身を戻す

自分のフォレストで有効かどうかは、管理センターでフォレスト名を選び、タスクの「ごみ箱の有効化」を見れば分かります。すでに有効なら、この項目は選べない状態になっています。PowerShellなら次のように確かめられます。EnabledScopes が空でなければ有効です。

Get-ADOptionalFeature -Identity 'Recycle Bin Feature' | Select-Object Name, EnabledScopes

ごみ箱が無効でも、削除されたオブジェクトはすぐに消えるわけではありません。メンバー限定の「Active Directory入門 Part 7：複製ロジック」の13分15秒からは、削除済みのオブジェクトを何日残すかを決める tombstoneLifetime が180になっている画面を、14分31秒からは Get-ADObject に -IncludeDeletedObjects を付けて、消したばかりのオブジェクトの残りを表示する場面を見せています。「削除」も複製で伝わる1つの変更であり、その印が一定期間残る、という仕組みを画面で確かめられます。未参加の場合はリンク先にメンバーシップの案内が出ます。

1台でもDCが生きていれば、フォレストの回復ではない

動画は冒頭の44秒からで、Microsoftの「Active Directory フォレストの回復ガイド」に触れたうえで、それはフォレスト内のすべてのDCが機能しなくなったときの手順だと整理しています。1分7秒からのとおり、1台でも生き残っていれば、壊れたDCはバックアップから戻すのではなく、新しく作って昇格し直し、複製で中身を受け取れば済みます。2台目以降を足す手順と注意点はドメインコントローラーを2台目に追加する手順と注意点で扱っています。

無料動画「Active Directory入門 Part 1」の43分49秒からも同じ考え方を説明しています。DCが壊れたら作り直して複製で受け取るのが基本で、バックアップから戻すのはあまりやらない操作だ、と。そして45分12秒から、戻すときにはただ戻すだけでは足りず、「権限のある復元」という特別な操作がある、と続けています。

つまり、DCのバックアップが本当に必要になるのは、多くの場合「サーバーが壊れたとき」ではなく、**「データを消してしまったのに、ごみ箱で戻せないとき」**です。動画の2分54秒からも、実際に使う可能性がありそうな場面として、ごみ箱から消えてしまった、あるいはごみ箱を有効にしていなかったというケースを挙げ、権限のある復元を実演する理由にしています。

権限のある復元とは何をしているのか

ADのバックアップをDSRMで戻すと、そのDCのデータベースはバックアップを取った時点の状態になります。公式の「Active Directory で削除されたユーザー アカウントとそのグループ メンバーシップを復元する方法」は、この普通の戻し方（システム状態の復元）と、権限のある復元を区別しています。

  • システム状態の復元: そのDCの中身を、バックアップ時点のバージョンに戻すだけ。再起動すれば、ほかのDCから新しい変更（＝削除）を受け取る
  • 権限のある復元: ntdsutil で、指定したオブジェクトやコンテナーのバージョン番号を引き上げる。複製が回ると、そのオブジェクトはパーティションを共有するすべてのDCで「権限を持つ」状態になる

ADの複製は、バージョンの大きいほうを新しい変更として採用します。復元したオブジェクトの番号を大きく上げておけば、ほかのDCが持つ「削除済み」より新しいと判断され、逆向きに複製されていく。動画の20分51秒からは、ntdsutil が属性のバージョン番号を上げたと表示する場面で、この仕組みを説明しています。公式ページによると、引き上げる量の既定は100000です。

手順の流れと、押してはいけないボタン

動画では、テスト用のOUの中身を消し、削除が2台目のDCにも届いたことを確かめてから、1台目のDCで権限のある復元をしています。流れは次のとおりです。

1. システム状態のバックアップを取っておく。 動画の5分16秒からのとおり、ADのオブジェクトはWindows Serverバックアップの「システム状態」に含まれます。動画ではバックアップ先にCドライブを選べず、5分57秒からディスクを1本足しています。本来はサーバーの外に置くべきものだ、とも話しています。

2. DSRMで起動する。 動画は13分22秒から、msconfig のブートタブで「セーフブート」の「Active Directory修復」を選んで再起動しています。この作業は、FSMOの役割を持っていないDCでやるほうがよい、とも補足しています。

3. DSRMのパスワードでサインインする。 再起動後はドメインの管理者ではサインインできません。14分52秒からのとおり、ローカルのAdministratorで、DCに昇格したときに決めたDSRMのパスワードを入れます。パスワードが分からない場合、公式ページは、まだ通常モードで動いているうちに ntdsutil の set dsrm password でリセットする方法を挙げています。DSRMのパスワードはDCごとに別に持つものなので、どのDCのものかを記録しておく意味がここで出てきます。

4. システム状態を「権限なし」で戻す。 Windows Serverバックアップの回復ウィザードで、復元する項目に「システム状態」を選びます。16分11秒からの画面に「Active Directoryファイルの権限のある復元を実行する」というチェックがありますが、一部のオブジェクトだけを戻したいときは付けません。 付けると、戻したもの全部を権限ありにしてしまうためで、動画はフォレスト全体をこのDCから作り直すような場面向けだと説明しています。

続く17分33秒からの「自動的に再起動する」のチェックも外します。そして18分8秒から、復元が終わると「再起動」のボタンが出ますが、これを押してはいけません。 ここで再起動すると、ただバックアップの時点に戻ったDCが立ち上がり、ほかのDCから削除を受け取って終わります。

5. ntdsutil で権限のある復元をする。 再起動せずに、そのまま印を付けます。

ntdsutil
activate instance ntds
authoritative restore
restore subtree "OU=テストOU,DC=example,DC=local"

動画は19分14秒からこの操作に入り、20分2秒からで restore object（1つのオブジェクト）と restore subtree（OUなどの中身全部）の違いを説明したうえで、OUごと戻しています。

6. 通常モードで再起動し、両方のDCで確かめる。 msconfig のセーフブートを外して再起動すると（21分43秒から）、印の付いたオブジェクトがほかのDCへ複製されます。動画の23分15秒からでは、まず2台目のDCで、次に1台目でも、消したユーザーが戻っていることを確かめています。複製を待たずに今すぐ回したいときは、メンバー限定の「Active Directory入門 Part 13：診断コマンド16選」の6分57秒からで紹介している repadmin /syncall が使えます。複製の結果の読み方はdcdiagのエラーとAD複製の結果の読み方にまとめています。

本番では「OUごと」ではなく、消えたものだけに印を付ける

検証環境で手順を覚えるなら、動画のようにOUごと戻すのがいちばん分かりやすい方法です。ただ、本番でも同じ範囲で戻してよいとは限りません。

公式ページは、権限のある復元をするときは、ドメインツリーの中でできるだけ低い（狭い）位置を指定するよう書いています。目的は、削除と関係のないオブジェクトを元に戻してしまわないこと。OUのサブツリーに対して権限のある復元をすると、その中のすべてのオブジェクトと属性がバックアップの時点に巻き戻ります。公式ページは失われる可能性のあるものとして、パスワード、ホームディレクトリ、プロファイルパス、連絡先情報、グループメンバーシップ、セキュリティ記述子を挙げています。

つまり、消えたのが10人のうち2人なら、OUごと戻すと、残っていた8人がバックアップ後に変えたパスワードまで古いものに戻ります。消えたユーザーが分かっているなら restore object で1人ずつ指定し、OUそのものが消えたときだけOUを含めて戻す、という選び方になります。公式ページは、restore object のほうが時間はかかるが、サブツリー全体よりも破壊的ではない、と書いています。

グループのメンバーシップは、別に戻す必要があることがある

ユーザーが戻っても、所属していたグループに入り直しているとは限りません。ユーザーを消すと、グループ側の member 属性からも、そのユーザーが外れるからです。

公式ページによると、権限のある復元を実行すると、ntdsutil は2つのファイルを作ります。復元したオブジェクトの一覧（ar_..._objects.txt）と、グループメンバーシップなどのつながりを戻すための ar_..._links_usn.loc.ldf です。フォレストの機能レベルがWindows Server 2003以上で、消えたのがユーザーやコンピューターだけ（グループは消えていない）といった条件をすべて満たせば、つながりは複製で再構築されます。満たさない場合は、ldifde -i -f でこのファイルを読み込んで戻します。ほかのドメインのドメインローカルグループのメンバーシップは、このファイルでは戻らず、手で入れ直す必要があります。

公式ページはさらに、通常モードで再起動した後、いったんそのDCへの受信の複製を止め（repadmin /options <DC名> +DISABLE_INBOUND_REPL）、復元したオブジェクトをほかのDCへ送り出してから受信を戻す、という順番まで書いています。グループの多い本番環境で戻すなら、動画で流れをつかんだうえで、この公式ページの手順を上から順に当てはめるのが安全です。

戻せるバックアップには期限がある

バックアップを取っていても、古すぎると使えません。公式の「Active Directory フォレストの回復 - フォレストを回復する方法を決定する」は、ごみ箱が有効な場合、バックアップの有効期間は deletedObjectLifetime と tombstoneLifetime の小さいほうに等しいとしています。既定の180日を過ぎたシステム状態のバックアップは、戻す材料として当てにできません。

バックアップの取り方について、無料動画「ドメインコントローラー構築時の落とし穴」の22分17秒からは、DCは作り直しで復旧するのが基本でも、壊れ方によってはバックアップが必要になるので取っておく、それも標準のWindows Serverバックアップで、と勧めています。23分32秒からは、他社製のバックアップソフトの戻し方がMicrosoftのサポート対象外だった、という著者自身の苦い経験です。

もう1つ、仮想環境のDCで「スナップショットに戻せば早い」と考えたくなりますが、同じ動画の39分53秒からは、スナップショットからDCを戻すのは本番では避けるべきだ、と説明しています。かつてUSNロールバックという有名な障害があり、スナップショットはバックアップの代わりにならない、という話です。

次に同じ事故を起こさないために

戻せた後にやっておきたいことは3つです。

  • ごみ箱を有効にする。 再起動を2回はさむ今回の操作が、次は管理センターの右クリックで済む。無効には戻せないこと、データベースが大きくなることを理解したうえで決める
  • OUに「誤って削除されないようにオブジェクトを保護する」を付ける。 公式ページによると、Active Directoryユーザーとコンピューターで作ったOUは、既定でこのチェックがオンになっている。オブジェクトのプロパティの「オブジェクト」タブで見られる（表示メニューの「拡張機能」をオンにしたとき）。動画の10分51秒からでOUそのものが消せず、中身だけを消して進めている場面があるのは、このような保護がかかっていた可能性がある
  • システム状態のバックアップを定期的に取り、DSRMのパスワードと一緒に管理する。 バックアップがあってもDSRMのパスワードが分からなければ、手順3で止まる

まとめ

状況 取る方法
ごみ箱が有効で、削除から期限内 Active Directory管理センターの「削除済みオブジェクト」から復元。OUごとなら親から順に
ごみ箱が無効、または期限切れ DSRMでシステム状態を権限なしで戻し、再起動せずに ntdsutil で権限のある復元
消えたのが一部のユーザー restore object で消えたものだけ。OUごと戻すと、残っていた人の変更まで巻き戻る
グループのメンバーシップが戻らない ntdsutil が作った .ldf を ldifde で読み込む。他ドメインのドメインローカルグループは手で戻す
DCが壊れたが、ほかのDCは生きている 復元ではなく、新しく作って昇格し直す
すべてのDCが機能しない フォレストの回復ガイドに従う

ADの復元で迷う原因は、「戻す」と「正しいと宣言する」が別の操作になっていることです。バックアップを戻すだけでは、DCは過去の状態に戻るだけで、ほかのDCに勝てません。戻したものの中から、本当に取り戻したいものだけに印を付ける。 この順番を覚えておけば、いざというときに再起動ボタンの前で手を止められます。