グループポリシー（GPO）の設定を誤って変更したり、GPO そのものを削除したりしたときに備えて、GPO はバックアップしておくことができます。この記事では、グループ ポリシーの管理（GPMC）で GPO をバックアップし、「設定を元に戻す」「削除した GPO を元に戻す」の2つのリストアを確認します。グループポリシーの概要は 【Active Directory】グループポリシーの構成・適用・更新、この記事で使う GPO（ソフトウェアの配布）は 【AD GPO】ソフトウェア配布（MSI）と動作確認 を参考にしてください。
- ドメイン内のすべての GPO をフォルダーにバックアップする
- 「バックアップから復元」で、既存の GPO の設定をバックアップ時点に戻す
- 「バックアップの管理」で、削除した GPO を復元し、OU にリンクし直す
前提
検証には、OU1 にリンクした GPO「MSIパッケージの配布」を使います。この GPO には、Firefox をコンピューターに割り当てるソフトウェアのインストール設定が入っています。
この記事の画面は、実際の画面ではなく、検証時の画面から操作する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
▾ フォレスト: hirotanoblog.local ▾ ドメイン ▾ hirotanoblog.local Default Domain Policy › Domain Controllers ▾ OU11 MSIパッケージの配布 › OU2 ▾ グループ ポリシー オブジェクト Default Domain Controllers Policy Default Domain Policy2 MSIパッケージの配布 › WMI フィルター › スターター GPO
| No. | 表示 | 意味 |
|---|---|---|
| 1 | OU1 の下の MSIパッケージの配布 | OU1 へのリンク。OU1 のコンピューターに GPO が適用される |
| 2 | グループ ポリシー オブジェクトの下の MSIパッケージの配布 | GPO 本体。設定はここに入っている |
GPO の本体と、OU へのリンクは別のものです。GPO はドメインごとに保存され、OU やドメイン、サイトにリンクすることで適用されます。この違いが、リストアの結果に関係します（図2）。
GPOバックアップ
すべての GPO をバックアップする
グループ ポリシーの管理で、グループ ポリシー オブジェクト を右クリック ›› すべてをバックアップ を選びます。バックアップ先のフォルダーを指定して［バックアップ］を押します。
| 注意 | WMI フィルターや IPsec ポリシーなどの GPO 外部の設定は Active Directory 内の独立したオブジェクトであり、バックアップは作成されません。 |
| 1場所 | C:\Users\（伏せています）\Desktop\GPO_Backup |
| 説明 |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 場所 | バックアップを保存するフォルダー。同じフォルダーに複数の GPO や、同じ GPO の複数回分のバックアップを保存できる |
| 2 | バックアップ | バックアップを開始する |
ダイアログの注意書きのとおり、WMI フィルターや IPsec ポリシーは GPO のバックアップに含まれません。使っている場合は、別に控えておきます。また、バックアップにはポリシーの内容が入っているので、承認された管理者だけが書き込めるようにフォルダーのアクセス許可を設定しておきます。
バックアップ作成の進行状況: ■■■■■■■■■■■■■■■■■■■■ GPO: Default Domain Controllers Policy...成功しましたGPO: Default Domain Policy...成功しましたGPO: MSIパッケージの配布...成功しました 13 個の GPO は正常にバックアップが作成されました。0 個の GPO はバックアップが作成されませんでした。
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 3 個…正常に作成 0 個…作成されず | ドメイン内の3つの GPO がすべてバックアップされた。緑のバーは処理が終わったことを表す |
［OK］で閉じたら、バックアップ先のフォルダーを開いてみます。バックアップした GPO ごとに、GUID の名前のフォルダーができています。
GPO_Backup {7F69BC14-4226-4F54-B574-ECBB69DF2CEB}1 {4522180A-849E-4804-A1CB-324ECC9D9B55} DomainSysvol 2022/10/08 22:24 ファイル フォルダー Backup 2022/10/08 22:24 XML ドキュメント2 gpreport 2022/10/08 22:24 XML ドキュメント {C5AE63A3-85BD-4BCD-9DBD-D0D3F33E265A}
<GPO xmlns="http://www.microsoft.com/GroupPolicy/Settings" …> <Identifier>3 <Identifier …>{…-48ED-802F-2DAF894C5718}</Identifier> <Domain …>hirotanoblog.local</Domain> </Identifier>4 <Name>MSIパッケージの配布</Name> <CreatedTime>2022-10-07T10:00:06</CreatedTime> <ModifiedTime>2022-10-07T15:46:28</ModifiedTime>
| No. | 表示 | 意味 |
|---|---|---|
| 1 | {4522180A-…} | バックアップ ID。バックアップを1回取るごとに付く ID で、GPO の ID とは別のもの |
| 2 | gpreport | GPO の設定をまとめたレポート。どの GPO のバックアップかはここで確かめられる |
| 3 | Identifier | GPO の ID。フォルダー名（バックアップ ID）とは違う値になっている |
| 4 | Name | GPO の名前。このフォルダーは「MSIパッケージの配布」のバックアップ |
フォルダー名はバックアップ ID なので、同じ GPO を何度バックアップしても、そのたびに別のフォルダーができます。GPMC はこの ID でバックアップを1つずつ見分けるので、同じフォルダーに複数回分を保存しても、復元するときにどれを使うか選べます。バックアップの中身は GPMC から扱い、フォルダーやファイルを直接編集しないようにします。
GPO を個別にバックアップする
1つの GPO だけをバックアップする場合は、グループ ポリシー オブジェクト ›› 対象の GPO を右クリック ›› バックアップ を選びます。この後のダイアログは、すべてをバックアップする場合と同じです。
PowerShell の GroupPolicy モジュールでも、Backup-GPO -All -Path <フォルダー> ですべての GPO を、Restore-GPO -Name <GPO 名> -Path <フォルダー> で GPO を復元できます。定期的にバックアップを取る場合は、タスク スケジューラーで実行する方法もあります。
GPOリストア
リストアには、既存の GPO の設定をバックアップ時点に戻す方法と、削除した GPO そのものを戻す方法の2つがあります。どちらも、バックアップを取ったのと同じドメインに戻す操作です。
GPO の設定を復元する
まず、GPO の設定を変えます。MSIパッケージの配布 を右クリック ›› 編集 でグループ ポリシー管理エディターを開き、コンピューターの構成 ›› ポリシー ›› ソフトウェアの設定 ›› ソフトウェア インストール にある Firefox のパッケージを削除します。
| 名前 | バージョン | 展開状態 | インストール元 |
|---|---|---|---|
| 1Mozilla Firefox 105.0 x64 ja | 105.0 | 割り当て | \\ad-1\app\Firefox Setup 105.0.msi |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | Mozilla Firefox 105.0 x64 ja | 割り当てているパッケージ。右クリック ›› すべてのタスク ›› 削除 で削除する |
パッケージを削除すると、GPO の設定はバックアップを取ったときと違う状態になります。これをバックアップから戻します。
グループ ポリシーの管理で グループ ポリシー オブジェクト ›› MSIパッケージの配布 を右クリック ›› バックアップから復元 を選び、復元ウィザードを開きます。［次へ］を押し、バックアップの場所に GPO_Backup フォルダーを指定して、もう一度［次へ］を押します。
| 名前 | タイム スタンプ | 説明 | ドメイン |
|---|---|---|---|
| 1MSIパッケージの配布 | 2022/10/08 22:24:02 | hirotanoblog.local |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | MSIパッケージの配布 | この GPO のバックアップ。タイム スタンプでいつのものかを確かめる |
| 2 | 設定の表示 | バックアップに入っている設定をレポートで表示する |
［設定の表示］を押すと、バックアップの中身がレポートで開きます。削除したパッケージがバックアップには残っていることを確かめておきます。
| 1名前 | Mozilla Firefox 105.0 x64 ja |
| バージョン | 105.0 |
| 言語 | なし |
| プラットフォーム | x64 |
| 2展開の種類 | 割り当て |
| 展開元 | \\ad-1\app\Firefox Setup 105.0.msi |
| 管理の対象でなくなったときは、このアプリケーションをアンインストールする | 無効 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 名前 | 削除した Firefox のパッケージが、バックアップには入っている |
| 2 | 展開の種類／展開元 | 割り当てで、共有フォルダーの MSI から配布する設定 |
レポートを閉じ、ウィザードで 次へ ›› 完了 を押すと復元が始まります。
復元の進行状況: ■■■■■■■■■■■■■■■■■■■■ 1MSIパッケージの配布...成功しました
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 成功しました | GPO の設定がバックアップ時点に戻った。緑のバーは処理が終わったことを表す |
グループ ポリシー管理エディターでソフトウェア インストールを開き直すと、削除した Firefox のパッケージが元に戻っています。既存の GPO を上書きする復元なので、OU1 へのリンクはそのまま残っています。
削除した GPO を復元する
次は、GPO そのものを削除してから戻します。グループ ポリシー オブジェクト ›› MSIパッケージの配布 を右クリック ›› 削除 を選ぶと、確認のメッセージが出ます。
| 1この GPO と、このドメイン内のこの GPO へのリンクすべてを削除しますか? この操作では他のドメイン内のリンクは削除されません。 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | この GPO へのリンクすべてを削除 | GPO を削除すると、このドメイン内のリンクも一緒に削除される |
［はい］を押すと、グループ ポリシー オブジェクトから GPO が消え、OU1 のリンクもなくなります。
削除した GPO を戻すには、グループ ポリシー オブジェクト を右クリック ›› バックアップの管理 を選びます。削除した GPO は右クリックできないので、「バックアップから復元」ではなくこちらを使います。
| バックアップの場所 | C:\Users\（伏せています）\Desktop\GPO_Backup |
| ドメイン | 名前 | タイム スタンプ | GPO ID |
|---|---|---|---|
| hirotanoblog.local | Default Domain Controlle… | 2022/10/08 22:23:57 | {6AC1786C-016F-11D2-945F-00C… |
| hirotanoblog.local | Default Domain Policy | 2022/10/08 22:23:59 | {31B2F340-016D-11D2-945F-00C… |
| 1hirotanoblog.local | MSIパッケージの配布 | 2022/10/08 22:24:02 | {28C51D5F-0CCE-48ED-802F-2DA… |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | MSIパッケージの配布 | 復元する GPO のバックアップ。GPO ID は gpreport の Identifier と同じ値 |
| 2 | 復元 | 選んだバックアップから GPO を作り直す |
［復元］を押すと「選択したバックアップを復元しますか?」と確認されるので、［OK］を押します。進行状況に「成功しました」と表示されたら［OK］、［閉じる］の順に押します。
▾ フォレスト: hirotanoblog.local ▾ ドメイン ▾ hirotanoblog.local Default Domain Policy › Domain Controllers1 OU1 › OU2 ▾ グループ ポリシー オブジェクト Default Domain Controllers Policy Default Domain Policy2 MSIパッケージの配布 › WMI フィルター › スターター GPO
| No. | 表示 | 意味 |
|---|---|---|
| 1 | OU1 | OU1 の下にリンクがない。リンクは復元されていない |
| 2 | MSIパッケージの配布 | GPO 本体は元に戻った |
GPO 本体は戻りましたが、OU1 へのリンクは戻っていません。リンクは OU 側の情報なので、GPO を削除したときに一緒に消え、GPO の復元では作り直されないためです。このままでは OU1 のコンピューターに GPO が適用されないので、リンクし直します。
OU1 を右クリック ›› 既存の GPO のリンク を選びます。
| GPO を検索するドメイン | hirotanoblog.local |
| グループ ポリシー オブジェクト |
|---|
| Default Domain Controllers Policy |
| Default Domain Policy |
| 1MSIパッケージの配布 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | MSIパッケージの配布 | リンクする GPO として、復元した GPO を選ぶ |
| 2 | OK | OU1 へのリンクを作る |
［OK］を押すと、OU1 の下に「MSIパッケージの配布」のリンクが戻り、図1 と同じ状態になります。GPO を複数の OU にリンクしていた場合は、そのすべてにリンクし直す必要があります。リンク先は GPO の［スコープ］タブで確かめられるので、削除する前に控えておくと戻しやすくなります。
バックアップに含まれない WMI フィルターは、復元しても作られません。GPO に WMI フィルターを関連付けていた場合は、フィルターがドメインに残っているかを確かめ、なければ作り直して関連付けます。
別のドメイン・フォレストに GPO を移す
ここまでの復元は、バックアップを取ったのと同じドメインにだけ戻せる操作です。別のドメインや別のフォレストに GPO の設定を持っていく場合は、「設定のインポート」を使います。移す先のドメインで GPO を作り、その GPO を右クリック ›› 設定のインポート を選んで、バックアップのフォルダーを指定します。
インポートで移るのは設定だけで、移す先の GPO のリンクやセキュリティ フィルターは変わりません。バックアップのフォルダーさえ読めればよいので、信頼関係のないドメインやフォレストの間でも使えます。設定の中にユーザーやグループ、UNC パス（\\ad-1\app のような共有フォルダー）が入っている場合は、移行テーブルで移す先の値に置き換えられます。
| 操作 | どこへ | 何が戻る・移る | リンク |
|---|---|---|---|
| バックアップから復元 | 同じドメインの既存の GPO | GPO の設定がバックアップ時点に戻る | そのまま残る |
| バックアップの管理 ›› 復元 | 同じドメイン（削除した GPO） | GPO がバックアップ時点の内容で戻る | 戻らない。リンクし直す |
| 設定のインポート | 同じ／別のドメイン・フォレストの既存の GPO | 設定だけが移る（移行テーブルを使える） | 移す先の GPO のまま |
| コピー | 同じドメイン、または信頼関係のあるドメイン | 新しい GPO が作られる（アクセス許可もコピーできる） | 新しい GPO なのでリンクはない |
まとめ
GPO のバックアップは、GPMC の「すべてをバックアップ」で取れます。戻すときは、GPO が残っているか、削除したかで使う画面が変わり、削除した GPO を戻したときはリンクを作り直します。
| やりたいこと | 操作 | ポイント |
|---|---|---|
| GPO をバックアップする | グループ ポリシー オブジェクト を右クリック ›› すべてをバックアップ | フォルダー名はバックアップ ID。WMI フィルターと IPsec ポリシーは含まれない |
| GPO の設定を戻す | GPO を右クリック ›› バックアップから復元 | リンクはそのまま |
| 削除した GPO を戻す | グループ ポリシー オブジェクト を右クリック ›› バックアップの管理 ›› 復元 | リンクは戻らないので、既存の GPO のリンク でリンクし直す |
| 別のドメイン・フォレストに移す | GPO を右クリック ›› 設定のインポート | 設定だけが移る。リンクは移す先で作る |
コメント