Active Directoryのバックアップとリストアを行う方法

Active Directoryは、システム情報管理において重要な役割を担う機能です。Active Directoryで使える機能や利用するメリット、Active Directoryのバックアップ方法・リストア方法を解説します。

Microsoft Digital Trust Security ソリューション一覧

そもそもActive Directoryとは?

「Active Directory（アクティブディレクトリ）」は、Microsoftが提供するWindows Serverで利用できるディレクトリサービスです。標準で搭載されている機能なので、追加でインストールしたり、サービスの利用料を支払ったりする必要がありません。

「Directory」は住所録や名簿、電話帳といった意味を持つ単語で、ITでは「多数のファイルなどが保管されている情報を一覧で確認できる表」を指します。ディレクトリを使用すると、その特徴からテキストや画像、動画ファイルなどがどこに保存されているかすぐに確認できます。Active Directoryは、このディレクトリの一種です。

Active Directoryとは組織のリソースを管理できるサービス

Active Directoryはディレクトリと同じ仕組みなので、パソコン内の情報を簡単にチェック・管理することができます。パソコンのフォルダを開くと中にあるファイルが一覧で表示されるのと同様に、Active Directoryではパソコンの中にあるさまざまなファイルやフォルダなどが表示されます。

会社の「人」やパソコンなどの「物」といったリソースも、Active Directoryで表示できます。人・パソコンの所属先や、ファイルなどが保存されているフォルダの場所、各フォルダの配置などを可視化できるため、システム管理者がリソースを管理する際に役立ちます。

Active Directoryを利用するメリット

Active Directoryには、会社のリソースが保存されている場所などを管理するドメインと、ユーザーIDとパスワードを使ってユーザー認証を行うドメインコントローラーがあります。ドメインコントローラーは、そのメリットからよく利用される機能です。ドメインコントローラーでは、社員が所属する部門や役職などに合ったアクセス権限を付与することができます。付与されたアクセス権によってデータの閲覧・編集ができる範囲が異なるため、重要な情報を誤って変更したり、削除したりする操作からデータを保護できます。

Active Directoryのフェデレーションサービスでは、他のクラウドサービスとのID連携も可能です。Microsoft AzureやMicrosoft 365などのクラウドサービスとIDを連携できるため、会社のActive Directoryにログインすれば、他のサービスでも自動的に利用者識別が行われ、利用できる状態になります。

ドメインコントローラーを利用すると、ドメイン内のリソースの一括管理も可能です。システム管理者は、リモートの一括管理によって端末上でユーザーが利用するソフトウェアを自動でインストールしたり、すべての端末にけるWindows Updateを一括で行ったりすることもできるため、管理者の負担が大幅に軽減されます。また、Windowsグループポリシーの機能と組み合わせるとUSBメモリなどの利用を制限できるため、セキュリティ対策にも活用できます。

Active Directoryを使うとパソコンを個別で管理する必要がなくなるため、ソフトウェアのライセンス費用やセキュリティ対策にかかる時間・費用を抑えることもできます。システム管理者の負担を軽減しながらリソースを適切に管理できるため、メリットの大きいツールといえるでしょう。

Active Directoryのバックアップ方法

Active Directoryのデータをバックアップする場合は、Windows Serverに標準で搭載されている「Windows Serverバックアップ」を使用します。バックアップ機能を使うためには、あらかじめ「Windows Serverバックアップ」を利用できる状態にする必要があり、その機能を追加しなければなりません。Windows Server 2019における、バックアップ機能の追加方法とバックアップの手順は以下のとおりです。

【Windows Serverバックアップ機能の追加方法】

デスクトップ画面左下の「Windowsアイコン」をクリックして「サーバーマネージャー」を選びます。
サーバーマネージャーのダッシュボード画面から「役割と機能の追加」を選びます。
「開始する前に」で「次へ」をクリックし、「インストールの種類の選択」で「役割ベースまたは機能ベースのインストール」にチェックを入れて「次へ」をクリックします。
「対象サーバーの選択」で「サーバープールからサーバーを選択」にチェックを入れてローカルサーバーを選び、「次へ」をクリックします。
「サーバーの役割の選択」はデフォルトのまま「次へ」をクリックします。
「機能の選択」の画面で「Windows Server バックアップ」を選択し、「次へ」をクリックします。
「インストールオプションの確認」の画面で「インストール」を選び、機能を追加します。

【Windows Server バックアップ手順】

デスクトップ画面左下の「Windowsアイコン」をクリックして「サーバーマネージャー」を選びます。
「ツール」のプルダウンから「Windows Server バックアップ」を選びます。
「ユーザーアカウント制御」ダイアログボックスで、復旧を行う担当者の資格情報を入力し、「OK」をクリックします。
「ローカルバックアップ」を選択し、に「操作」メニューの「ローカルバックアップ」を選びます。
「バックアップオプション」の画面で「別のオプション」にチェックを入れ、「次へ」で進みます。
「バックアップの構成の選択」の画面で「カスタム」を選択し、「次へ」で進みます。
「バックアップする項目の選択」の画面で「項目の追加」をクリックし、「システム状態」を選んで「OK」をクリックします。
「バックアップ場所の種類指定」の画面で「ローカルドライブ」「リモート共有フォルダ―」のどちらかを選びます。
「バックアップ先の選択」の画面でバックアップの場所を指定し、「確認」の画面で「バックアップ」をクリックします。
バックアップが完了したら「閉じる」をクリックし、「Windows Server バックアップ」を終了します。

Active Directoryのリストア方法

Windows Server バックアップによって作成した「Active Directoryのバックアップ」から、AD フォレストの回復を行うことができます。Active Directoryの復旧方法には、「Authoritativeリストア」と「非Authoritativeリストア」があります。

「Authoritativeリストア」は、ネットワークの運用ミスによるデータ復旧を行う方法です。ドメインに複数のドメインコントローラーが存在する場合で、リストアするドメインコントローラーのオブジェクトを上位に置きたい場合に利用します。パソコンの中のActive Directoryが1台だけ古い情報になっているとトラブルの原因になるため、他のパソコンとの整合性を取りながら行う必要があります。

「非Authoritativeリストア」は、ドメインコントローラーの破損といった障害が起こった場合にサーバーを復旧する方法です。「非Authoritativeリストア」は、一般的なディレクトリサービスの復旧方法です。ディレクトリ復元モードでパソコンを起動してから実行します。このモードではユーザー名やパスワードが必要になるので、起動前に準備しておきましょう。
ディレクトリ復元モードで、「Active Directoryのバックアップ」を用いてリストアを行う際の手順は以下のとおりです。

【ディレクトリ復元モードで起動する方法】

リストアするActive Directoryサーバーに管理者権限でログインしてから、画面左下の「Windowsボタン」を右クリックし、「ファイル名を指定して実行」を選びます。
「msconfig」を入力して「OK」をクリックします。
「システム構成」の画面で「ブート」タブを選び、「セーフブート」「Active Directory 修復」を選んで「OK」をクリックします。
「再起動」をクリックします。

【ディレクトリ復元モードでActive Directoryをリストアする方法】

再起動後、ローカルのAdministrator（復元モードで指定しているパスワード）でログインします。
「Windowsボタン」を右クリックし、「ファイル名を指定して実行」をクリックして「msconfig」を入力し、「OK」をクリックします。
「システム構成」の画面で「ブート」タブを選び、「セーフブート」のチェックを外して「OK」、「再起動しないで終了する」をクリックします。
「Windowsボタン」を右クリックし、「コマンドプロンプト（管理者）」を選びます。
「wbadmin.exe Get Versions」のコマンドを実行し、バックアップのバージョンを確認します。
バックアップ識別子で表示された日付と時刻をメモします。
「wbadmin.exe Start Systemstaterecovery -Version:DD/MM/YYYY-HH:MM」のコマンド（DD以下はメモした日付と時刻を入力）を入力し、リストアを実行します。
「システム状態の回復を開始しますか？」というメッセージが出たら、「Y」「Enter」を押します。
「コンピューターにコピーしてから回復を実行してください。続行しますか？」というメッセージが出たら、「Y」「Enter」を押します。
「回復操作を完了するためには、サーバーの再起動が必要です。続行しますか？」というメッセージが出たら、「C」+「Ctrl」を押します（再起動は行いません）。
「ntdsutil」コマンドを実行した後「activate instance ntds」コマンドを実行し、Active Directory データベースのオフライン最適化を実行します。
ドメイン名「○○.local」の「××」を個別にリストアする場合は「restore subtree CN=××,DC=○○,DC=local」のコマンドを実行し、「はい」をクリックします。
「Authoritative Restore が正常に終了しました。」と表示されたら、「quit」コマンドを2回実行して終了します。
「shutdown /r」コマンドで再起動し、ドメインの管理者ユーザーでログイン後、「Active Directory ユーザーとコンピューター」でリストアしたユーザーが復活していることを確認します。

まとめ

Recovery Manager for Active DirectoryはActive Directoryをバックアップし、オブジェクトレベルまで特定して復元できるツールです。ドメインコントローラーの再起動が不要で、迅速な復旧によってユーザーへの影響を最小限に抑え、システムを最適に保つことができます。