緊急！アクティブディレクトリーのアカウント整理中に削除した場合の対処方法

質問

• アクティブディレクトリーのアカウント整理中にアカウントを誤って削除した場合の対処方法を教えてください。
• 現在稼動中のためREBOOTできない場合の対処方法を教えてください。
• 削除前の状態をエクスポートして修復時にインポートすることはできるのか、方法を教えてください。

回答No.1

atawi · ベストアンサー

テストできる環境がないので、確実なことがいえないのですが、
わかる範囲で書き込みさせていただきます。

まずActive Directoryオブジェクトの回復のためには、DCの再起動は必須ではないでしょうか（自信なし）。

しかし、DCが複数あれば、ログオンに関しては他のDCが処理してくれますので問題ないはずです。

DCが一つしかないのであれば、稼動状態でのオブジェクトのリストアはできないのではないかと思います。

システム停止なく、「オブジェクトの削除」という障害に対応するためには、
複数のDCを運用し、Authoritative Restoreを行うことが不可欠ではないでしょうか。

これが可能ならば、DC間の複製間隔をあえて長くしておくDCを設置しておくことで、
オブジェクトのバックアップとすばやいリストアなどにも使えると思います。
もちろん調査の上、よく内容を理解して、テストを十分に行うことが重要です。

また(2)の方法は、同名の新規ユーザーが作られるだけで、
SIDを含めた同一オブジェクトの復元にはなりません。
ログオンはできるようになると思いますが、
2000, XPなど、NT系のクライアントOSならば、
新規ユーザーとして、新しくプロファイルが作成されてしまうでしょう。
あとから以前使用していたプロファイルのコピーを行えば、
なんとか以前の環境で利用はできると思いますが面倒です。

そもそも「ユーザーの削除」という運用ですが、
使用しなくなったアカウントはまず無効にして、
Domain Usersグループ以外の指定やスクリプトの指定を解除しておく状態にするにとどめておき、
さらに、使用しなくなったアカウントを特定のOUにまとめておけばいいのではないでしょうか？

要するに無効にして整理するだけで削除は基本的にしない、ということです。
整理されていれば、仮に削除するときにも間違えないと思います。
整理されていない状態のDC内で、誤って複数のオブジェクトを含むOUを削除したりしたら、
それこそ目も当てられません。

http://support.microsoft.com/default.aspx?scid=kb;ja;840001
http://www.microsoft.com/japan/technet/prodtechnol/windows2000serv/technologies/activedirectory/deploy/adguide/addeploy/addch10.asp#_Toc523922098
http://windows.microsoft.com/windows2000/ja/server/help/default.asp?url=/windows2000/ja/server/help/ntbackup_authoritative_restore.htm

お礼

回答と多くの情報をありがとうございます。

単一DCでの運用だったため、リストアすることが非常に困難な状況での質問になってしまいました。
1に関しては、やはり頃合を見てリストアをかけてみるしかないようです。
2に関しては、新規ということなのですね。UID－GIDができないとなるとやはり、復元はリストアするしかないようですね。

運用に関しては、今までは「アカウントの無効化」により対応していたのですが、CALの問題で無効アカウントも1ライセンスとしてカウントされてしまい、現在はライセンスがオーバーしてしまい、早急に削除が必要になってしまったのです。
削除自体は単一OU・UNのみの削除なので項目の確認は大丈夫かと思われます。

回答ありがとうございました。