AD のユーザー・グループ・OU を誤削除した場合の復元と Active Directory ごみ箱の事前有効化

Active Directory ごみ箱は有効化後に削除されたオブジェクトと多くの属性を復元できます。事前有効化と復元訓練が必要です。

1. 結論と対象範囲

AD オブジェクトの誤削除はアカウント、グループ所属、GPO リンク、メール同期、アプリ権限へ同時に影響します。ごみ箱は事故前に有効化する必要があり、削除後に有効化して過去オブジェクトを戻すことはできません。

Active Directory、DNS、GPO、認証、DC 健全性に関係します。変更前に複製、バックアップ、影響範囲を確認します。

2. 優先して確認するリスク兆候

• 管理者が誤った OU に一括削除または整理スクリプトを実行した。
• 同期システムがオンプレミス削除を Microsoft 365、アプリ、別ディレクトリへ反映した。

3. 変更前の確認項目

1. フォレスト機能レベル、ごみ箱状態、削除済み保持期間、システム状態バックアップを確認します。
2. 種類、元 DN、SID、グループ所属、GPO リンク、同期影響を特定します。
3. 監査イベントと変更時刻を確認し、自動削除の継続を止めます。
4. 論理削除、完全削除、保持期限超過のどれかを判断します。

Get-ADOptionalFeature -Filter {Name -like "Recycle Bin*"}
Get-ADObject -Filter {isDeleted -eq $true} -IncludeDeletedObjects
Restore-ADObject -Identity <DeletedObjectGUID>

4. 推奨実施手順

1. 計画変更でごみ箱を事前有効化し、有効化が元に戻せないことを記録します。
2. ADAC または Restore-ADObject で少数を試験後に復元します。
3. 復元後に所属、上司、委任、GPO、メール、アプリ同期を確認します。
4. 一括削除の承認、誤削除防止、スクリプト対象制限を追加します。

5. 検証、切戻し、よくある誤り

• 利用者がログオンし、グループ、権限、アプリ同期が正常です。
• 元 SID と重要属性が保持され、同名新規オブジェクトへ置換されていません。
• 削除と復元が監査ログに残り、復旧報告を確認できます。

よくある誤り

• 事故後にごみ箱を有効化して過去削除を戻せると考える。
• 同名アカウントを新規作成し、SID と権限を変えてしまう。
• OU だけ戻し、配下、GPO、同期関係を確認しない。

公式資料

• Microsoft： Enable Active Directory Recycle Bin

よくある質問

有効化前に削除したオブジェクトを戻せますか。

戻せません。有効化後に削除され、保持期間内のものだけです。

復元後に全権限が戻りますか。

多くの属性は戻りますが、グループ、委任、GPO、同期、アプリ状態を確認します。