【Windows Server 2019】Active Directory ごみ箱機能と動作確認

Active Directory で管理しているユーザーやコンピューターなどのオブジェクトを誤って削除すると、簡単には元に戻せません。ごみ箱機能を有効にしておくと、削除したオブジェクトを一定期間、削除する前の状態のまま復元できます。この記事では、Windows Server 2019 でごみ箱機能を有効にし、誤って削除したユーザーを復元する手順を確認します。

ごみ箱機能とは

ごみ箱機能（Active Directory ごみ箱）を有効にすると、削除したオブジェクトは、すぐには消えずに Deleted Objects コンテナーに入ります。保持される期間の間は、グループのメンバーシップなどの属性を保ったまま復元できます。

ごみ箱機能の有効化

Active Directory 管理センターを開く

ドメインコントローラーで、サーバーマネージャー ›› ツール ›› Active Directory 管理センター をクリックします。

ごみ箱を有効にする

左のペインでドメイン（今回は hirotanoblog.local）を選び、右のタスク ペインの［ごみ箱の有効化］をクリックします。

ごみ箱を一度有効にすると、無効にはできないことが表示されます。［OK］をクリックします。

続いて、変更がすべてのドメインコントローラーに複製されるまで、ごみ箱が正しく動かないことが表示されます。［OK］をクリックします。

Active Directory 管理センターを更新すると、［ごみ箱の有効化］がグレーアウトし、選べなくなっています。これで、ごみ箱が有効になりました。

動作確認

営業部 OU（その下のユーザ OU）にあるユーザー yamada（山田 一郎）を誤って削除したことにして、復元してみます。

削除する前の SID を確認する

削除したユーザーが本当に元どおりに復元されたかを確かめるために、yamada の SID（Security Identifier、セキュリティ識別子）を確認しておきます。SID は、ユーザーを内部で見分けるための番号で、同じ名前のユーザーを作り直しても同じ SID にはなりません。

コマンドプロンプトで wmic useraccount get name,sid を実行すると、ユーザーの SID の一覧が表示されます。

C:¥Users¥Administrator>wmic useraccount get name,sidName           SIDAdministrator  S-1-5-21-（伏せています）-500Guest          S-1-5-21-（伏せています）-501krbtgt         S-1-5-21-（伏せています）-5021yamada         S-1-5-21-（伏せています）-1103

ユーザーを削除する

［Active Directory ユーザーとコンピューター］で、hirotanoblog.local ›› 営業部 ›› ユーザ の山田 一郎を右クリックし、［削除］をクリックします。確認が表示されるので、［はい］をクリックします。

ユーザ OU の一覧から、山田 一郎が消えます。コマンドプロンプトで wmic useraccount get name,sid を実行すると、yamada が削除されていることも確認できます。

C:¥Users¥Administrator>wmic useraccount get name,sidName           SIDAdministrator  S-1-5-21-（伏せています）-500Guest          S-1-5-21-（伏せています）-501krbtgt         S-1-5-21-（伏せています）-502

オブジェクトを復元する

削除したオブジェクトは、Active Directory 管理センターから復元できます。Active Directory 管理センターでドメインを選び、Deleted Objects を開きます。

先ほど削除した山田 一郎が表示されています。選んで右クリックし、［復元］をクリックします。

［復元］をクリックすると、Deleted Objects の一覧から消えます。

復元されたことを確認する

［Active Directory ユーザーとコンピューター］を見ると、山田 一郎が元の OU（営業部のユーザ）に戻っています。

コマンドプロンプトでも、yamada が削除する前と同じ SID で復元されていることが確認できます。

C:¥Users¥Administrator>wmic useraccount get name,sidName           SIDAdministrator  S-1-5-21-（伏せています）-500Guest          S-1-5-21-（伏せています）-501krbtgt         S-1-5-21-（伏せています）-5021yamada         S-1-5-21-（伏せています）-1103

SID が同じなので、yamada に付けていたアクセス許可やグループのメンバーシップも、そのまま使えます。ユーザーを作り直した場合は SID が変わるので、アクセス許可などを付け直す必要があります。

まとめ

Active Directory のインストールは 【Windows Server 2019】Active Directoryのインストール手順、ユーザーの追加とドメイン参加は 【Windows Server 2019】Active Directory ユーザ追加と端末のドメイン参加、アクセス許可は 【Windows Server 2019】 NTFSアクセス権と動作確認 で説明しています。