ドメインコントローラーのバックアップとリストアについて

本記事はマイクロソフト社員によって公開されております。

こんにちは。Windows Commercial Support Directory Services チームです。

本記事では、ドメインコントローラーのバージョンアップや移行作業において、万が一失敗した際に必要となる「ドメインコントローラーのバックアップとリストア」の手順についてご案内します。

具体的には、Windows Server バックアップによるシステム状態のバックアップとリストアを扱います。

スナップショット機能についての注意事項

仮想環境で運用している場合、スナップショット機能をバックアップとして運用しても問題ないか、というお問い合わせをいただくことがございます。
結論といたしまして、以下の公開情報に記載の通り、弊社ではドメインコントローラーを対象とした仮想マシンスナップショットによる復元はお勧めしておりません。

ドメインコントローラーのバックアップに代わる手段として、仮想マシンスナップショットの適用によってドメインコントローラーを復元するという方法はお勧めできません。引き続き Windows Server バックアップまたは他の VSS ライターベースバックアップソリューションを使用することをお勧めします。

Active Directory Domain Services (AD DS) の安全な仮想化 | Microsoft Learn
https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/introduction-to-active-directory-domain-services-ad-ds-virtualization-level-100

Windows Server 2012 以降では、スナップショットからのドメインコントローラーの復元時に VM-generation ID とよばれる識別番号を利用し、不整合が発生しないよう実装が変更されております。
そのため、VM-Generation ID が利用できる環境であれば、ドメインコントローラーのスナップショットからのリストアはサポートされています。
しかしながら、スナップショットは Windows Server バックアップなどのようなバックアップソリューションとして設計されているものではないため、定期的にバックアップを取得する機能や、世代管理などの機能がありません。
つまり、お客様のバックアップ要件を満たすようにバックアップを取得するための機能が十分に提供されていないことから、スナップショットの利用はお勧めできないということになります。

また、ドメインコントローラーをスナップショットから復元した場合、グループポリシーなどを共有している SYSVOL が初期複製の状態で起動されるため、1 台のみの復元であれば問題ございませんが、ドメイン内の全てのドメインコントローラーをスナップショットから復元した場合、全てのドメインコントローラーが SYSVOL の初期複製待ちの状態で起動され、SYSVOL の複製が正常に行われない、という事象が発生する場合もございます。

サードパーティ製のバックアップソリューションついての注意事項

サードパーティ製のバックアップソリューションを利用する場合は、ご利用予定のソリューションが VSS ライターに対応している必要があります。
VSS ライターに対応しているかにつきましては、ご利用予定のソリューションのサポート窓口まで、事前にご確認いただくようお願いいたします。

ドメインコントローラーのバックアップを行う方法

Active Directory のデータベース、グループポリシーのための構成ファイルを格納した SYSVOL フォルダー配下など、ドメインコントローラー (DC) が必要とする情報はシステム状態に含まれます。
以下は、Windows Server バックアップを使用してシステム状態のバックアップファイルを作成する手順です。

事前準備: Windows Server バックアップのインストール

バックアップを作成する DC に管理者権限を持つユーザーでサインインします。
[サーバーマネージャー] を起動し、[管理] メニューの [役割と機能の追加] をクリックします。
“開始する前に” の画面が表示された場合は、[次へ] をクリックします。
[役割ベースまたは機能ベースのインストール] が選択されていることを確認し、[次へ] をクリックします。
[サーバープールからサーバーを選択] が選択されていることを確認し、[サーバープール] でバックアップ取得対象の DC が選択されている状態で [次へ] をクリックします。
[次へ] をクリックします。
[Windows Server バックアップ] にチェックを入れ [次へ] をクリックします。
[インストール] をクリックします。
インストールが完了したら [閉じる] をクリックします。

バックアップ手順

バックアップを作成する DC に管理者権限を持つユーザーでサインインします。
[管理者として実行] からコマンドプロンプトを起動します。

次のコマンドを実行し、システム状態データをバックアップします。

wbadmin start systemstatebackup -backupTarget:<バックアップ保存先> -quiet
 
// 例 1: D ドライブにバックアップを保存する場合  
wbadmin start systemstatebackup -backupTarget:D: -quiet
 
// 例 2: 共有フォルダーにバックアップを保存する場合  
wbadmin start systemstatebackup -backupTarget:\\SERVER.contoso.com\Share -quiet

ドメインコントローラーのリストアを行う方法

Active Directory のデータベース、グループポリシーのための構成ファイルを格納した SYSVOL フォルダー配下など、ドメインコントローラー (DC) が必要とする情報はシステム状態に含まれます。
以下は、Windows Server バックアップを使用してシステム状態のリストアを行う手順です。
リストアの手順は、一部のドメインコントローラーを復元する場合と、すべてのドメインコントローラーを復元する場合で若干作業が異なりますので、どちらもご案内させていただきます。

復元手順 (一部のドメインコントローラーを復元する場合)

復元を実施する DC に管理者権限を持つユーザーでサインインします。
[ファイル名を指定して実行] から msconfig を実行します。
[ブート] タブの [セーフブート] をオンにします。
[Active Directory 修復] を選択し、[OK] をクリックします。
[再起動] をクリックします。
OS が起動してきたら、ディレクトリサービス復元モードの Administrator でサインインします。
コマンドプロンプトを起動します。
以下のコマンドを実行し、対象のバックアップの “バージョン識別子” を確認します。
1
wbadmin get versions
以下のコマンドを実行し、システム状態の復元を実施します。
1
wbadmin start systemstaterecovery -version:<バージョン識別子> -quiet
システム状態の復元が完了すると、コマンドプロンプト上に再起動を求めるメッセージが出力されます。一旦はそのままで次の手順を進めます。
[ファイル名を指定して実行] から msconfig を実行します。
[ブート] タブの [セーフブート] をオフにし、[OK] をクリックします。
[再起動] をクリックします。

復元手順 (すべてのドメインコントローラーを復元する場合)

復元作業を開始する前の注意事項

すべての DC を復元する場合、リストア済みの DC と、リストア未実施の DC を通信させないことが重要です。
これらが通信してしまうと、リストア未実施の DC が保持しているデータベース情報の方が新しいという扱いとなるため、リストア済みの DC に対して、リストア未実施のデータベースの情報が複製されてしまいます。

そのため、1 台目のリストアを開始する前に、リストア未実施の DC (2 台目以降にリストアする DC) をすべてシャットダウンした状態としてください。
作業中に誤って起動してしまった場合に備え、あわせてネットワークケーブルの取り外し (仮想マシンの場合はネットワークアダプターの切断) を実施いただくと、より確実です。

DC をシャットダウンできない場合は、リストア対象のすべての DC をディレクトリサービス復元モードで起動しておく方法も有効です。
ディレクトリサービス復元モードで起動している間は Active Directory ドメインサービスが動作しないため、他の DC との間で Active Directory データベースの複製は行われません。
ただし、msconfig で [Active Directory 修復] を設定するには、一度通常のモードで起動する必要がございます。
1 台目のリストアが完了した後にリストア未実施の DC を通常のモードで起動すると、その時点で複製が行われてしまいます。
そのため、必ず 1 台目のリストアを開始する前に、すべての DC をディレクトリサービス復元モードで起動した状態としてください。

1 台目に復元する DC での手順

復元を実施する DC に管理者権限を持つユーザーでサインインします。
[ファイル名を指定して実行] から msconfig を実行します。
[ブート] タブの [セーフブート] をオンにします。
[Active Directory 修復] を選択し、[OK] をクリックします。
[再起動] をクリックします。
OS が起動してきたら、ディレクトリサービス復元モードの Administrator でサインインします。
コマンドプロンプトを起動します。
以下のコマンドを実行し、対象のバックアップの “バージョン識別子” を確認します。
1
wbadmin get versions

以下のコマンドを実行し、システム状態の復元を実施します。

1	wbadmin start systemstaterecovery -version:<バージョン識別子> -authsysvol -quiet

システム状態の復元が完了すると、コマンドプロンプト上に再起動を求めるメッセージが出力されます。一旦はそのままで次の手順を進めます。
[ファイル名を指定して実行] から msconfig を実行します。
[ブート] タブの [セーフブート] をオフにし、[OK] をクリックします。
[再起動] をクリックします。

再起動後、リストアした DC は、他の DC とのレプリケーションに問題が発生する可能性がございます。
これはリストアにより、DC のコンピューターアカウントパスワードが過去のものになり、他の DC の AD データベース上に保持されているコンピューターアカウントパスワードと不一致になることで発生します。
その場合、追加で以下の手順を実施ください。

コマンドプロンプトを起動し、以下のコマンドを実行します。

1	netdom resetpwd /Server:<稼働している DC の IP アドレス> /ud:<ドメイン名>\<ドメイン管理ユーザー名> /pd:<パスワード>

2 台目以降に復元する DC での手順

注意事項

2 台目以降にリストアする DC は、手順 13 で通常のモードで起動するまでの間、リストア済みの DC と通信しない状態を維持してください。上記「復元作業を開始する前の注意事項」のとおり、シャットダウン、ネットワークからの分離、またはディレクトリサービス復元モードでの起動により、通信が発生しない状態としてください。
手順 13 で通常のモードで起動する際は、リストア済みの DC と疎通可能な状態としてください。手順 14 のコンピューターアカウントパスワードのリセットには、稼働している DC との通信が必要となります。
もし復元済みのものと復元未実施のものが復元前に通信してしまうと、復元未実施の DC サーバーが保持しているデータベース情報の方が新しいという扱いとなるため、復元済みの AD サーバーに対して、復元未実施のデータベースの情報が複製されてしまいます。

復元を実施する DC に管理者権限を持つユーザーでサインインします。
[ファイル名を指定して実行] から msconfig を実行します。
[ブート] タブの [セーフブート] をオンにします。
[Active Directory 修復] を選択し、[OK] をクリックします。
[再起動] をクリックします。
OS が起動してきたら、ディレクトリサービス復元モードの Administrator でサインインします。
コマンドプロンプトを起動します。
以下のコマンドを実行し、対象のバックアップの “バージョン識別子” を確認します。
1
wbadmin get versions
以下のコマンドを実行し、システム状態の復元を実施します。
1
wbadmin start systemstaterecovery -version:<バージョン識別子> -quiet
システム状態の復元が完了すると、コマンドプロンプト上に再起動を求めるメッセージが出力されます。一旦はそのままで次の手順を進めます。
[ファイル名を指定して実行] から msconfig を実行します。
[ブート] タブの [セーフブート] をオフにし、[OK] をクリックします。
[再起動] をクリックします。

コマンドプロンプトを起動し、以下のコマンドを実行します。

1	netdom resetpwd /Server:<稼働している DC の IP アドレス> /ud:<ドメイン名>\<ドメイン管理ユーザー名> /pd:<パスワード>

ベアメタルのバックアップ/リストアを行う方法について

上記の手順はシステム状態のバックアップ/リストアを行う手順となりますが、ベアメタルのバックアップ/リストアを行う場合は、以下の公開情報を参考にしていただければ幸いです。

Windows Server バックアップによるバックアップ手順 | Microsoft Japan Windows Technology Support Blog (jpwinsup.github.io)
https://jpwinsup.github.io/blog/2022/03/22/Storage/Backup/Windows-Server-Backup-Overview/

Windows Server バックアップによるベアメタルリストア手順 | Microsoft Japan Windows Technology Support Blog (jpwinsup.github.io)
https://jpwinsup.github.io/blog/2022/05/09/Storage/Backup/Restore/

その他よくあるお問い合わせ

Windows Server バックアップでドメインコントローラーのシステム状態をバックアップした場合、どのくらいの容量となりますか？

Windows Server バックアップでは、差分をブロック単位で世代分保存するため、例えば 3世代保存する場合は、元のサイズ＋3世代分の変更差分が必要になります。

また、以下の公開情報にもございます通り、システム状態のバックアップでは以下のような情報をバックアップいたします。

ドメインコントローラ: Active Directory (NTDS)、ブートファイル、COM+ クラス登録データベース、レジストリ、システムボリューム (SYSVOL)

システム状態およびベアメタルのバックアップ
https://docs.microsoft.com/ja-jp/system-center/dpm/back-up-system-state-and-bare-metal?view=sc-dpm-2019

上記のデータはお客様の環境に依存するところが大きく、また変更の発生頻度もお客様環境により様々ですので、一概には申し上げることはできません。

そのため、実際にお客様環境で Windows Server バックアップを実施し、容量を計測するのが確実かと考えます。

変更履歴

2023/4/24: 本記事の公開
2025/9/9: ドメインコントローラーのリストア手順を一部修正
2026/2/18: ドメインコントローラーのリストア手順を一部修正
2026/3/13: ドメインコントローラーのリストア手順を一部修正
2026/8/22: netdom resetpwd コマンドの表記を修正
2026/9/2: 「復元作業を開始する前の注意事項」の追加

本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。