DC の SYSVOL／NETLOGON 共有が消えた場合の DFSR とグループポリシー調査

SYSVOL、NETLOGON 消失は DFSR 初期同期未完了、複製障害、DB 異常、誤った復旧操作で発生します。まず正常コピーを保護します。

1. 結論と対象範囲

SYSVOL は GPO テンプレートとログオンスクリプトを保存し、NETLOGON は SYSVOL が準備完了後に公開されます。共有を手作業で作っても状態は直らず、誤った権威復元は破損内容を全 DC へ複製する危険があります。

Active Directory、DNS、GPO、認証、DC 健全性に関係します。変更前に複製、バックアップ、影響範囲を確認します。

2. 優先して確認するリスク兆候

• net share に SYSVOL／NETLOGON がなく、端末の GPO とログオンスクリプトが失敗する。
• DFSR ログに 2213、4012、4612、4602 などが出る、または複製が停止している。

3. 変更前の確認項目

1. 完全で最新の SYSVOL を持つ DC を特定し、そのコピーを先に保護します。
2. repadmin、dcdiag を実行し、AD 複製、DNS、時刻、ディスクを確認します。
3. DFSR イベント、サービス、DB、SYSVOL サブスクリプションを確認します。
4. スナップショット復元、クローン、強制同期、旧 FRS 移行の有無を確認します。

net share
dcdiag /test:advertising /test:sysvolcheck
repadmin /replsummary
Get-WinEvent -LogName "DFS Replication" -MaxEvents 50

4. 推奨実施手順

1. 共有を手作業で作成せず、根拠なく BurFlags を変更しません。
2. Microsoft 手順に従い非権威または権威 DFSR 同期を選び、権威元を一台に限定します。
3. 一台ずつ復旧し、4602／4604 と共有再公開を確認します。
4. Policies、Scripts、GPO 数と版を比較し、端末で再試験します。

5. 検証、切戻し、よくある誤り

• 全 DC が SYSVOL と NETLOGON を再公開します。
• repadmin／DFSR に継続障害がなく、ファイルと AD の GPO 版が一致します。
• 新規テスト GPO が複製され端末へ適用されます。

よくある誤り

• 複数 DC で同時に権威復元する。
• 時点不明のスナップショットで正常 SYSVOL を上書きする。
• 共有復旧だけで GPO 内容を確認しない。

公式資料

• Microsoft： Force authoritative and non-authoritative SYSVOL synchronization

よくある質問

SYSVOL／NETLOGON 共有を手作業で作れますか。

複製と準備状態は直らず、根本原因を隠すため行いません。

どの DC を権威元にしますか。

内容が完全で最新かつ業務確認済みのコピーを一台だけ選びます。