Windows Server 2025 / Active Directoryごみ箱で削除したアカウントを復元する
Active Directoryごみ箱は、有効化後に削除された対象オブジェクトを属性や所属とともに復元できます。有効化はフォレスト全体の変更で無効へ戻せず、すべての回復を代替するバックアップではありません。
対象と前提条件を調べる
対象はADのユーザー、グループ、OUなどで、ファイル共有、OS全体、SYSVOL全体を戻す機能ではありません。ADごみ箱の説明で範囲を確認します。機能レベル、複製、バックアップ、変更権限を確認し、ここでは隔離実習だけに適用します。
Get-ADForest | Select-Object RootDomain,ForestMode
Get-ADOptionalFeature -Filter "Name -eq 'Recycle Bin Feature'" | Select-Object Name,EnabledScopes
repadmin /replsummaryAD管理センターで有効にする
- DC1または管理PCでdsac.exeを開き、ad.example.testを確認します。
- ごみ箱の有効化を選び、元へ戻せない変更であることを読みます。
- 意図した実習フォレストだけで実行して画面を更新します。
- 両DCへ構成が複製されたか確認します。
すでに有効なら繰り返しません。項目が使えない場合は現状、レベル、権限を調べます。AD管理センターも参照し、二台が即座に一致したとは思い込まないでください。
回復専用の無効ユーザーを作る
有効化と複製の後、LabUsersとGG_LabUsersがある状態でrecycle.labを未存在時だけ作ります。実在ユーザーや管理者は使いません。
New-ADUser -Name 'Recycle Lab User' -SamAccountName 'recycle.lab' -Path 'OU=LabUsers,OU=Lab,DC=ad,DC=example,DC=test' -Description 'Recycle bin practice only' -Enabled $false
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'recycle.lab'
$recycleTest = Get-ADUser -Identity 'recycle.lab' -Properties MemberOf
$recycleTest | Select-Object Name,ObjectGUID,SID,DistinguishedName,MemberOfGUID、SID、OU、所属を控えます。サインイン用途ではないため無効のままです。同名を作り直すことでは同じ識別子は保持されません。
単一の識別子で削除と復元を行う
同じセッションで保存したGUID一つを指定し、確認画面で対象がRecycle Lab Userであることを読みます。広い検索結果を削除へ渡しません。
Remove-ADUser -Identity $recycleTest.ObjectGUID -Confirm
Get-ADObject -Identity $recycleTest.ObjectGUID -IncludeDeletedObjects -Properties isDeleted,lastKnownParent | Select-Object Name,ObjectGUID,isDeleted,lastKnownParent
Restore-ADObject -Identity $recycleTest.ObjectGUIDGUIなら管理センターのDeleted Objectsから該当オブジェクトを復元できます。親OUがない場合は親を戻すか適切な復元先を選びます。同名競合も先に確認してください。
元のIDと所属へ戻ったか照合する
Get-ADUser -Identity 'recycle.lab' -Properties MemberOf,Enabled | Select-Object Name,ObjectGUID,SID,Enabled,DistinguishedName,MemberOf
Get-ADGroupMember -Identity 'GG_LabUsers'GUID、SID、場所、所属が記録と一致し、Enabledが意図通り無効のままか確認します。複製後の両DCでも同じ対象を確認します。
保持期間は有限です。復元できない場合は、異なるSIDの同名ユーザーを急いで作る前にバックアップによる方法を検討します。実習後は専用オブジェクトだけ整理できますが、ごみ箱自体を無効に戻すことはできません。
