Active Directory のバックアップ方法：ステップバイステップガイド

Microsoft Active Directory（AD）は、世界中の多数の組織で使用されている主要な認証サービスです（およそ 90 percent）。ユーザーアカウント、権限、組織ネットワーク上のコンピューター数など、重要なビジネス情報をドメインコントローラー（DC）に保存します。つまり、これは重要なインフラです。とはいえ、多くの企業は Active Directory をバックアップすることがどれほど重要かをまだ十分に理解できていません。もし障害が発生した場合、最新の 調査結果 によれば、あなたの組織は 1 日あたり推定 100,000 ドルを失う可能性があります。これらの数字は恐ろしいものですが、実際には、Active Directory の復旧における最も深刻なシナリオの影響のみを表している可能性が高いです。それでも、これらの数値は、ビジネスとして AD backup を真剣に考えるのに十分な理由となるはずです。

このガイドでは、Active Directory Domain コントローラー（AD DC）をバックアップする方法について、仕組みから実践まで詳しく解説します。ベストプラクティス、ツール、手法、そしてさまざまな種類のバックアップを実行する方法を学びましょう。

Active Directory のバックアップが重要な理由は？

Active Directory DC が利用できなくなる要因はいくつかあります。たとえば、サイバー攻撃、人為的ミス、自然災害、停電などです。これらの要因の1つ、または複数が組み合わさって発生する AD 障害は、企業にさまざまな影響を及ぼす可能性があります。最初に述べた直ちに発生する金銭的損失に加えて、企業は次のような事態にも直面するかもしれません：

• データ損失：効率的な Active Directory のバックアップがない場合、ユーザーアカウント情報、権限、設定などの重要な AD データを失うリスクがあります。これらの情報が失われると、重要な業務プロセスに大きな影響が及ぶ可能性があります。
• 評判への悪影響： AD のバックアップが不足しているために復旧作業が遅れると、特に障害が顧客が必要とする重要な業務機能やサービスに影響する場合、組織の評判に悪影響を及ぼす可能性があります。
• 従業員の生産性の低下： 従業員が業務を行うために必要なリソースにアクセスできない場合、組織のネットワークが復旧するまで待つ間、生産性が低下する可能性があります。

Active Directory のバックアップは、障害が発生した場合に取得できるよう、AD に保存されているすべてのデータのコピーを作成することで、上記の問題すべてを防ぐのに役立ちます。これらのバックアップは、Active Directory の停止時間が長引いたり、業務に深刻な影響を与えたりしないことを確実にする、より大規模な復旧戦略の一部にするべきです。

Active Directory バックアップのためのツールと方法

以下は、Windows Server バックアップを実行する際の手順です。

フル サーバー バックアップ

完全なサーバー バックアップ（一般的にフル バックアップと呼ばれます）は、「すべて」を復元することを目的としています。サーバー上のすべてのボリュームまたはパーティションのコピーを作成し、すべてのアプリケーションとオペレーティング システムに加えて、システム状態（system state）も含めます。

この AD バックアップによりベアメタル リカバリ（BMR）が可能になり、フル サーバー バックアップから復元したすべてのデータを、新しい物理サーバーまたは仮想マシン（VM）へ転送できます。

フル AD バックアップを実行するには、次の 2 つの方法を使用できます。

方法 1：Windows Server Backup の GUI を使用する

1. 適切な管理者権限でサーバーにログインします。

2. Windows の [スタート] メニューで「Windows Server Backup」と入力してバックアップ ユーティリティを検索し、それをクリックして起動します。

3. Windows Server Backup コンソールの左ペインには、次の 2 つのオプションがあります：「Backup Once」と「Backup Schedule」。今回は 1 回限りのバックアップを行うため、「Backup Once」を選択します。

4. 「Different options」のラジオ ボタンを選択し、[Next] をクリックします。

5. 次に 2 つのオプションが表示されます。「Full server (recommended)」と「Custom」。まず「Full server (recommended)」を選択し、その後 [Next] をクリックします。

6. バックアップ先を「ローカル ドライブ」または「リモート共有フォルダー」のどちらかから選択します。わかりやすくするため、このガイドでは「ローカル ドライブ」を選択します。次へをクリックしてください。

7. 確認画面で内容を希望どおりに設定したら、「バックアップ」をクリックしてバックアップ処理を開始します。

方法 2：Windows Server Backup コマンドライン ツール（wbadmin.exe）を使用する

1. 管理者権限でコマンド プロンプトを起動します。

2. 完全なサーバー バックアップを実行するには、次のコマンドを入力します：

wbadmin start backup -backuptarget:\<Drive_letter_to_store_backup\>: -include:\<Drive_letter_to_include\>:

3. Enter キーを押してコマンドを実行します。

フル サーバー バックアップの重要性

ハードウェアの不具合、サイバー攻撃、自然災害などの致命的な障害が発生した場合でも、フル サーバー バックアップがあれば、何が起きても業務を最後のバックアップ時点まで復元できるフォールバック オプションが確保され、データ損失の影響を最小限に抑えられます。フル サーバー バックアップは、オペレーティング システムのファイル、アプリケーション、データを含むシステム全体を取得します。これにより、ファイルとその依存関係の間のつながりを保持することで、データの整合性が保証される包括的なスナップショットになります。

サーバー上のすべてのボリューム/パーティションをバックアップする

すべてのボリュームまたはパーティションをバックアップすることで、システムファイル、アプリケーション、ユーザーデータを含むすべてのデータがバックアップに含まれるようになります。すべてのボリュームまたはパーティションのバックアップを用意しておくと、復旧プロセスが簡単になります。個々のファイルやディレクトリを復元する代わりに、ボリュームまたはパーティション全体を復元できるため、バックアップから復旧するのに必要な時間と手間を減らせます。

ベアメタル復旧（Bare Metal Recovery）の機能

ベアメタル復旧（Bare metal recovery）は、壊滅的な障害の後や新しいサーバーをセットアップする際に、サーバーを機能する状態に戻すためのバックアップの種類です。BMR により、OS（オペレーティングシステム）、システム設定、アプリケーション、データを含むサーバー全体を、最初から（スクラッチから）復元できます。これは、ハードウェア障害、破損、またはサーバーが稼働不能になるその他の災害が発生した場合に非常に重要です。BMR は、OS とアプリケーションを手作業で再インストールするのに比べて、サーバー復旧に必要な時間を大幅に短縮できます。

新しい物理サーバーまたは仮想マシンにADを復元する

Active Directory を新しい物理サーバーまたは仮想マシンに復元するには、データ損失やサービス中断を起こさずにスムーズに移行できるよう、入念な計画と実行が必要です。以下は、AD を新しい物理サーバーまたは仮想マシンに復元するための手順とベストプラクティスです。

• 新しいサーバー/VM について、ハードウェアまたは仮想化基盤を評価し、AD を実行するための要件を満たしていることを確認します。
• 新しいサーバー/VM にオペレーティング システム（Windows Server）をインストールし、復元する AD のバージョンと互換性があることを確認します。
• 最新のバックアップを使用して、Windows サーバー バックアップ ツール、またはサードパーティのバックアップ ソフトウェアで、新しいサーバー/VM に AD を復元します。
• 新しいサーバー/VM が稼働し、AD が実行され始めたら、既存のドメイン コントローラーと適切に複製および同期されていることを確認します。
• 新しいサーバー/VM が、FSMO ロールを保持している既存のドメイン コントローラーの代替として意図されている場合は、FSMO ロール（スキーマ マスター、ドメイン ネーミング マスター、RID マスター、PDC エミュレーター、およびインフラストラクチャ マスター）を新しいサーバー/VM に転送します。
• 「ntdsutil」または PowerShell のコマンドを使用して、FSMO ロールを新しいサーバー/VM に転送します。
• 徹底的なテストを実施し、AD の機能が復旧していること、ユーザーが問題なく認証できること、リソースにアクセスできること、およびドメイン関連のタスクを支障なく実行できることを確認します。
• グループ ポリシー、DNS 設定、およびその他の AD 依存の構成が正しく機能していることを確認します。
• 復元プロセス中に実施した手順を、将来の参照および監査の目的のために記録します。

システム状態のバックアップ

システム状態のバックアップは、Active Directory を機能する状態に復元するために必要な重要なコンポーネントだけをコピーします。これらのコンポーネントにはActive Directory データベース（NTDS）、SYSVOL ディレクトリ、システム レジストリ、ブート ファイル、パフォーマンス モニターの構成ファイルなどが含まれる場合があります。そのため、システム状態のバックアップは AD の災害復旧にとって非常に重要です。

システム状態のバックアップは次の2通りの方法で実行できます。

方法 1：Windows Server バックアップの GUI を使用する

1. まず、適切な管理者権限でサーバーにログインします。

2. Windows の［スタート］メニューで、「Windows Server Backup」と入力してバックアップ ユーティリティを検索し、それをクリックして起動します。

3. Windows Server Backup コンソールの左ペインで、次の 2 つのオプションが表示されます：「Backup Once」と「Backup Schedule」。今回は 1 回限りのバックアップを行うため、「Backup Once」を選択します。

4. 「Different options」のラジオ ボタンを選択し、［Next］をクリックします。

5. 「Backup Once」のページで「Custom」オプションを選択し、その後［Next］をクリックします。

6. 「Select Items for Backup」で「Add Items」をクリックし、「System State」の横にあるチェック ボックスをオンにします。「OK」をクリックします。

7. Windows Server 2008 R2 または Windows Server 2008 を使用している場合は、バックアップに含めるボリュームを選択します。必要に応じて、システム回復を有効にして重要なボリュームを含めます。

8. 「宛先の種類を指定」ページで、「ローカル ドライブ」または「リモート共有フォルダー」のいずれかを選択し、「次へ」をクリックします。リモート共有フォルダーにバックアップする場合は、パスを入力し、アクセス制御の設定を選択し、書き込みアクセス用のユーザー認証情報を指定してください。

9. Windows Server 2008 および Server 2008 R2 の場合は、「詳細オプションの指定」ページで「VSS コピー バックアップ」を選択します。「次へ」をクリックします。

10. 「バックアップの宛先の選択」画面で、希望するバックアップ場所を選択します。

11. バックアップ設定を確認し、「バックアップ」をクリックして確定し、バックアップ処理を開始します。

方法 2：Windows Server Backup コマンドライン ツール（wbadmin.exe）を使用する

1. スタート メニューで「Command Prompt」を検索し、右クリックして「Run as administrator」を選択することで、管理者権限でコマンド プロンプトを起動します。

2. 次のコマンドを入力してシステム状態のバックアップを開始し、その後「Enter」を押します。

wbadmin start systemstatebackup -backuptarget:<TargetDrive>

バックアップを保存したい保存先に <TargetDrive> を置き換えます。

システム状態バックアップを理解する

システム状態バックアップにより、重要なシステム設定、ファイル、およびデータベースがバックアップされ、システム障害、破損、またはその他の問題が発生した場合に復元できるようになります。Active Directory データベースは、ユーザーやグループ ポリシー、ドメインの信頼、およびセキュリティ設定など、ドメイン全体の構造に関する情報を含むため、システム状態バックアップの中で最も重要な構成要素です。システム状態バックアップには、重要なオペレーティング システム ファイル、ブート ファイル、およびシステムの起動と運用に必要なファイルなどのシステム ファイルも含まれます。

システム状態バックアップに含まれる構成要素

システム状態バックアップには、システム復旧に必要な重要な構成要素が含まれます。これらの構成要素は Windows Server のバージョンによって多少異なる場合がありますが、通常は同じです。これらの構成要素が連携して、重要なシステム設定、データベース、およびファイルがバックアップされることを保証します。

• Active Directory Database (NTDS). この構成要素には Active Directory データベースが含まれており、ドメイン内のユーザー、グループ、コンピューター、およびその他のオブジェクトに関する情報を保存します。
• システム レジストリ。 Windows レジストリには、システムおよびアプリケーションの設定が保存されます。システム状態のバックアップにはレジストリのスナップショットが含まれており、必要に応じてレジストリ設定を以前の状態に復元できます。
• システム ファイル。 システムの起動および運用に必要な重要なシステム ファイルが、システム状態のバックアップに含まれます。これらのファイルにより、オペレーティング システムとアプリケーションが適切に機能します。
• COM+ クラス登録データベース。 このコンポーネントには、コンポーネント オブジェクト モデル（COM）の各コンポーネントとその構成に関する情報が含まれます。COM+ は、Windows プラットフォーム上で分散アプリケーションを構築および展開するためのフレームワークを提供します。
• ブート ファイル。 システム状態のバックアップには、ブート構成データ（BCD）ストア、ブート マネージャー ファイル、その他のブート関連コンポーネントなど、システムの起動に必要なブート ファイルが含まれます。
• 証明書サービス データベース。 証明書サービス（PKI）がインストールされている場合、証明書サービスのデータベースが含まれます。このデータベースには、発行された証明書、証明書失効リスト（CRL）、およびその他の PKI 関連データに関する情報が保存されます。
• SYSVOL ディレクトリ。 SYSVOL は、ドメインのパブリック ファイルのサーバー コピーを格納する共有ディレクトリです。これには グループ ポリシー設定、スクリプト、およびドメイン コントローラーにとって不可欠なその他のコンポーネントが含まれます。
• クラスター サービス。 クラスタ環境では、高可用性クラスターを管理するクラスター サービスに関連するコンポーネントがシステム状態バックアップに含まれます。
• Internet Information Services メタベース。 Internet Information Services (IIS) がインストールされている場合、IIS メタベースがシステム状態バックアップに含まれます。メタベースには、IIS の Web サイトおよびアプリケーションの構成設定が保存されます。
• Active Directory 証明書サービス。 Active Directory Certificate Services (AD CS) がインストールされている場合、そのデータベースが含まれます。このデータベースには、発行済みの証明書に関する情報およびその他の PKI 関連データが保存されます。

AD の災害復旧におけるシステム状態バックアップの重要性

システム状態バックアップ（System State Backup）には、オペレーティングシステムの重要なコンポーネントと AD データベースが含まれており、復旧中にディレクトリ構造とデータの整合性が保持されることを保証します。ドメインコントローラーに障害が発生した場合、System State Backup により、AD を含むサーバー全体を、以前に確認済みの正常な状態（previously known good state）に復元できます。System State Backup は、災害対策（disaster mitigation）の重要な構成要素としても機能し、ハードウェア障害、ソフトウェアの不具合、または不適切なシャットダウンなどによるデータベースの破損が起きた場合でも、AD データベースを一貫した健全な状態に復元するための信頼性の高い仕組みを提供します。

サードパーティのバックアップ ソリューション

サードパーティのバックアップ ソリューションは、標準のバックアップ ツールや集中管理コンソールと比べて、追加機能と柔軟性を提供します。これにより、IT 管理者は単一のインターフェイスから、複数のサーバーおよびエンドポイントにまたがってバックアップ ポリシー、スケジュール、復旧（リカバリ）操作を管理できます。これらは、多くの場合、増分バックアップ、差分バックアップ、ブロック レベル バックアップなどの高度なバックアップ手法を取り入れており、一般にきめ細かな復旧オプションも提供します。管理者は、完全なサーバー復元を行うことなく、個々のファイル、フォルダー、アプリケーション、そして AD オブジェクト（たとえばユーザー アカウント、グループ、組織単位（OU）、グループ ポリシー オブジェクト（GPO））や、特定のデータベース レコードでさえも復元できるようになります。

以下はいくつかのサードパーティ製 Active Directory バックアップ ソリューションです。いずれも、組織の多様なニーズに対応するための独自の機能と機能性を備えています。

• Netwrix Identity Recovery
• Veeam Backup & Replication
• Quest Rapid Recovery
• Acronis Backup
• NetBackup by Veritas
• Veritas の Backup Exec
• Dell（旧 Quest）Active Directory Recovery Manager
• Adaxes

Active Directory バックアップの自動化

重要なディレクトリ データをデータの損失や破損から保護するため、可能な限り AD バックアップを自動化することが重要です。自動バックアップには、自動化をサポートするバックアップ ソリューションの選定と、そのバックアップ ソリューション内でバックアップ スケジュールを設定して、たとえば毎日・毎週・その他の間隔などの定期的な間隔で AD バックアップが自動的に実行されるようにすることが必要です。

Active Directory のバックアップに関するベストプラクティス

Active Directory をバックアップした後でも、復元プロセスをActive Directory スムーズに進めるためにできることがいくつかあります。Active Directory のバックアップに関するベストプラクティス の例：

• ディレクトリ データの最新コピーを確実に保持できるように、Active Directory の定期バックアップをスケジュールします。
• AD の稼働が低い時間帯にバックアップが実行されるよう、バックアップ スケジュールを設定し、業務への影響を最小限にしつつ、安定したバックアップを実現します。
• ドメイン コントローラーに対して、完全なサーバー バックアップまたはシステム状態バックアップを実行してください。AD データベース（NTDS.dit）、システム レジストリ、SYSVOL ディレクトリ、およびその他の重要なシステム ファイルなど、重要な AD コンポーネントが含まれているためです。
• ハードウェア障害、災害、またはランサムウェア攻撃によるデータ損失から守るため、別々の場所にバックアップの複数コピーを保管してください。
• テスト復元と検証チェックを実施して、AD バックアップの整合性を定期的に確認してください。
• 復旧シナリオが発生した場合に、バックアップ ファイルが破損しておらず、正常に復元できることを確認してください。
• 冗長性と災害復旧の目的で、バックアップをオンサイトとオフサイトの両方に保存してください。バックアップ ファイルは暗号化され、アクセス制御された保管場所に安全に保存し、不正アクセスや改ざんを防止します。
• きめ細かな復旧オプションを提供するバックアップ ソリューションを選び、完全な AD の復元を行わなくても、個々の AD オブジェクト、属性、またはコンテナーを復元できるようにしてください。
• バックアップ保管ポリシーを定義して、バックアップ ストレージを効率的に管理し、規制要件を遵守します。
• バックアップ ジョブが正常に完了することを定期的に監視し、バックアップ失敗を管理者に通知するためのアラート機構を導入します。
• バックアップ手順、スケジュール、および復旧プロセスを文書化して、一貫性を確保し、トラブルシューティングを容易にします。
• バックアップおよび復旧プロセスを定期的にテストし、有効性を検証するとともに、潜在的な問題や不足を特定します。
• Microsoft Volume Shadow Copy Service を活用してください。この技術は、コンピューターのファイルやボリュームが使用中であっても、手動または自動でバックアップ コピーやスナップショットを取得します。

Microsoft Volume Shadow Copy Service (Microsoft VSS)

Microsoft Volume Shadow Copy Service は、Microsoft Windows オペレーティング システムにおける技術で、コンピューターのファイルやボリュームが使用中であっても、それらの手動または自動のバックアップ コピーやスナップショットを取得できます。これらのスナップショットは、データの一貫したバックアップを作成するために利用でき、ユーザーがファイルを以前のバージョンに復元したり、データ損失の状況から復旧したりすることを可能にします。

VSS はファイル システムのブロック レベルで動作し、データが格納されているボリュームのある時点でのコピー（またはシャドウ コピー）を作成します。このコピーは、システムが元のボリュームへの書き込みを継続しながら作成されます。ボリュームの状態を一時的にフリーズしてスナップショットを取得し、その後、継続中の書き込み処理が再開できるようにすることで、データの整合性を確保します。VSS は、多くのバックアップ ソリューションで一般的に使用されており、システムをオフラインにする必要や、進行中の処理を中断する必要なくデータのバックアップを作成できます。

VSS の主な構成要素には次のものが含まれます。

• VSS Service：これは、シャドウ コピー作成プロセスを管理する役割を担う Windows のサービスです。さまざまな VSS コンポーネントの動作を調整します。
• VSS Requestor: これは、シャドウ コピーの作成または復元のプロセスを開始するアプリケーションまたはサービスです。
• VSS Writer: ボリューム上のデータを保持するアプリケーションまたはサービス内のコンポーネントです。Writer は、シャドウ コピーが作成される前にデータが一貫した状態になっていることを確認します。
• VSS Provider: これは、ボリュームと直接連携してシャドウ コピーを作成するシステム コンポーネントです。

Active Directory の推奨バックアップ戦略

Active Directory のための包括的なバックアップ戦略は重要です。これはデータ損失から守るだけでなく、破損、誤って削除してしまった場合、または悪意のある攻撃が発生した場合でも迅速な復旧を可能にします。以下では、Active Directory 環境に特化した推奨バックアップ戦略を示します。以下は、Active Directory のための推奨バックアップ戦略です。

AD バックアップにおける業務要件を理解する

組織の AD 環境を評価して、その複雑さ、規模、重要度を理解します。ドメイン数、ドメイン コントローラー数、フォレスト数、また、特殊な構成や統合の有無を特定してください。AD バックアップのための明確な目標と目的を定義します。これには、ダウンタイムの最小化、規制要件への対応、災害復旧（ディザスターリカバリ）への支援などが含まれます。以下を含めて、AD バックアップの詳細な要件を文書化してください。

1. バックアップの頻度（例：毎日、毎週）
2. バックアップの種類（例：フル、増分）
3. ストレージ要件（例：オンプレミス、クラウド）
4. 暗号化とセキュリティ対策
5. バックアップの保管ポリシー
6. 監視・レポーティング機能
7. 既存のバックアップ基盤との統合
8. 災害復旧手順

復旧時点の目標（Recovery Point Objective：RPO）と復旧までの目標時間（Recovery Time Objective：RTO）を決定する

システム停止がビジネスに与える影響を考慮します。停止1時間あたり、どれくらいの収益が失われるでしょうか。データ喪失に伴う潜在的なコストは何ですか。バックアップおよび復旧インフラの技術的な能力を評価してください。バックアップソリューションによっては、他よりも復旧時間が短い、あるいはより頻繁にバックアップできるものがあります。

復旧時点の目標（Recovery Point Objective：RPO）

RPO（Recovery Point Objective）は、災害や障害が発生した場合に許容できるデータ損失の量を指します。ビジネス要件を満たすために、データをどれくらいの頻度でバックアップする必要があるかを決定してください。たとえばRPOが1時間であれば、障害が起きた際に組織が許容できるのは、データ変更の最大で1時間分までの損失であることを意味します。

目標復旧時間（Recovery Time Objective、RTO）

RTO とは（この場合 AD について）システムまたはサービスに許容される最大停止時間を指します。障害が発生した後、システムまたはサービスをどれくらいの速さで復旧する必要があるかを決定してください。考慮すべき要因には、障害を検知するまでにかかる時間、復旧プロセスを開始するまでの時間、そして運用を復元するまでにかかる時間などがあります。たとえば RTO が 4 時間の場合、障害発生後 4 時間以内にシステムを復旧し、稼働可能な状態に戻す必要があることを意味します。

特定の RPO および RTO を達成するためのコスト面の影響を考慮してください。より厳格な（一般的により短い）RPO や RTO を求めるほど、より高度で高価なバックアップおよび復旧ソリューションが必要になることが多いです。合意された RPO と RTO は、災害復旧計画に記録してください。

バックアップ頻度と 3-2-1 バックアップルール

データのバックアップをどれくらいの頻度で実施すべきかは、バックアップ頻度（backup frequency）を指します。データがどれくらい頻繁に更新されるかを考慮してください。頻繁に変化するデータは、災害が発生した場合のデータ損失を最小限に抑えるために、より頻繁なバックアップが必要になることがあります。RPO（Recovery Point Objective）は、許容できる最大のデータ損失量を決めるための用語です。バックアップ頻度は、許容される範囲の時間内にバックアップが変更を取り込めるように、RPOと連動させる必要があります。バックアップを実施するためのストレージ容量と利用可能なリソースを評価してください。バックアップの頻度を高めると、追加のストレージ容量や計算リソースが必要になる場合があります。

3-2-1 バックアップルールは、データのバックアップとディザスタリカバリ（災害復旧）のベストプラクティスです。データの複数のコピーを作成し、それらを異なる場所に保存して、冗長性を確保するとともに、さまざまな障害シナリオから保護することを提案しています。

3：データのコピーを少なくとも3つ維持します。これには元のデータと、バックアップコピー2つが含まれます。

2：バックアップコピーを、少なくとも2種類の異なるストレージデバイスまたはメディアに保存します。たとえば、外付けハードドライブ、ネットワーク接続ストレージ、テープドライブ、クラウドストレージを組み合わせて使用することができます。

1：少なくとも1つのバックアップコピーは、プライマリデータや他のバックアップとは異なる物理的な場所、またはオフサイトに保管します。これにより、同じ場所に保存されたすべてのコピーに影響し得る火災、洪水、盗難などの災害から保護できます。

バックアップの頻度を決め、3-2-1バックアップルールを実装する際は、データ量の変化、ビジネスニーズ、技術の進歩に基づいてバックアップ戦略を定期的に見直し、調整することが重要です。必要なときにデータを復元できるよう、バックアップが信頼性と有効性を持つことを確認するためにも、定期的なバックアップのテストが欠かせません。

安全なバックアップ保存ソリューションを選ぶ

バックアップ保存ソリューションを選ぶ際は、しっかり調査することが大切です。以下にいくつかの考慮事項を示します。

• 転送中および保存時の両方で暗号化に対応したバックアップソリューションを選びましょう。これにより、データがネットワーク経由で転送されている場合でも、バックアップ媒体に保存されている場合でも、未授权のアクセスからデータを保護できます。
• 誰がバックアップにアクセスして管理できるかを制限するために、アクセス制御を実装します。多要素認証（MFA）などの強力な認証メカニズムと ロールベースのアクセス制御 (RBAC)を使用して、不正なアクセスを防止してください。
• オンプレミスのストレージ ソリューションを使用する場合は、バックアップ サーバーおよびストレージ デバイスへの物理アクセスが許可された担当者のみに制限されていることを確認してください。施錠されたサーバー ルーム、または厳格なアクセス制御を備えたデータセンターの利用を検討してください。
• データの高可用性を確保するために、冗長化とフォールトトレランスを備えたバックアップ ソリューションを選択してください。RAID や分散ストレージ システムなどの冗長なストレージ アーキテクチャを導入することで、ハードウェア障害によるデータ損失のリスクを軽減できます。
• 火災、洪水、盗難などのローカルな災害から保護するために、バックアップ コピーはオフサイト、または別の地理的な場所に保存してください。クラウドベースのバックアップ ソリューションの利用や、バックアップ メディアを定期的にオフサイトへローテーションすることも検討しましょう。

バックアップ テスト手順の実装

バックアップ テスト手順を実装することで、バックアップおよび復旧戦略の信頼性と有効性が確保されます。これらの目的には、バックアップの完全性を検証することや、復旧時間を評価することが含まれる場合があります。バックアップ テスト手順を実装する際は、以下の点を考慮してください。

• バックアップをテストするための具体的なシナリオ、手順、および判定基準を明確にした、詳細なテスト計画を作成してください。テスト対象のバックアップの種類、テスト頻度、期待する結果などの情報を含めます。
• バックアップテストを定期的に実施するためのスケジュールを設定してください。増分バックアップとフルバックアップの両方をテストすることを検討します。完全なシステムの復元、個々のファイルの復元、アプリケーション固有の復元など、さまざまな復旧シナリオをテストしてください。
• 復旧時間の目標が満たされているかを評価し、復旧プロセスにおけるボトルネックや非効率を特定してください。
• バックアップのスケジューリング、通知の仕組み、およびエラーハンドリング手順をテストしてください。
• バックアップテストの結果を文書化してください。発生した問題、期待された結果からの逸脱、改善が必要な領域などを含めます。
• バックアップのテスト手順が、組織の目標および業界のベストプラクティスと確実に整合していることを確認してください。
• バックアップの成功率や復旧時間などのパフォーマンス指標を監視し、傾向や潜在的な問題を先取りして特定してください。

Netwrix がどのように支援できるか

ネイティブの Windows ツールは基本的なバックアップを提供しますが、Netwrix Identity Recovery は Netwrix AD security と ITDR solutions のポートフォリオの一部として、組織がより堅牢な AD の災害復旧戦略を実現できるよう支援します。主な機能には次が含まれます：

• 削除されたユーザーおよびコンピューター オブジェクトを復旧し、すべての属性を完全に復元して“再アニメーション”します
• 記録された任意の状態に対して、不要な変更を迅速かつ柔軟にロールバック
• 記録された任意の状態に DNS をロールバックして復旧し、誤って変更した場合や悪意のある攻撃によるスプーフィングおよびデータ損失を防止
• ドメイン コントローラーのバックアップと自動化された AD フォレストの復旧
• 復旧時点目標（RPOs）を満たすためのカスタマイズ可能なスナップショット スケジューリング
• ロールベースのアクセス制御（RBAC）

結論と推奨事項

Active Directory は、多くの組織の IT インフラにおける重要な構成要素であり、ネットワーク リソースへの権限とアクセスを管理します。AD のバックアップ戦略を用意しておくことで、データ消失、破損、または誤って削除してしまった場合に起こり得る問題を防ぐことができます。

包括的なバックアップ戦略を設計することの重要性

効果的なバックアップ戦略には、組織のデータを徹底的に分析して、バックアップ作業の優先順位を決めることが含まれます。これには、最も重要なデータを特定し、その変更頻度を理解し、さらに規制上のコンプライアンス要件を考慮することが含まれます。このような戦略を作成する際には、フルバックアップ、増分バックアップ、差分バックアップなどのさまざまな方法を組み合わせて、定期的かつ一貫したバックアップを実施することが重要です。このアプローチにより、最新データが継続的かつ安全に取得され、潜在的なデータ消失を最小限に抑えられます。

AD インフラを保護するための推奨事項

AD インフラを保護するには、技術的対策、包括的なポリシー、そして継続的な警戒を含む多層的なアプローチが必要です。変化し続ける脅威やベストプラクティスに合わせて、セキュリティ戦略を定期的に見直し、更新することは、安全で回復力のある AD 環境を維持するうえで非常に重要です。以下の推奨事項を実装することで、組織は Active Directory インフラのセキュリティ態勢を強化し、潜在的な脅威や脆弱性からより適切に保護できます。

• 強力なアクセス制御とロールベースのアクセスを使用します。
• パッチを適用して AD サーバーと OS を最新の状態に保ちます。
• 疑わしい変更がないか、AD の活動を監視し監査します。
• 追加のセキュリティのために多要素認証を導入します。
• ファイアウォールやアンチウイルスソフトなどのネットワークセキュリティ対策を導入します。
• AD データを定期的にバックアップし、復旧計画をテストします。
• スタッフに対して、セキュリティのベストプラクティスと潜在的なリスクについて教育します。
• 組み込みの AD security 機能（Kerberos や BitLocker など）を活用します。
• AD の管理業務とツールを分離し、保護します。
• 追加の保護のために Privileged Access Management（PAM）や SIEM などの高度なセキュリティソリューションを検討してください。

バックアップ戦略を定期的に見直し、更新することの重要性

現在のバックアップ戦略は、ひとまず重要な要件をすべて満たしているかもしれません。しかし、デジタルトランスフォーメーションが急速に進む中で、6か月後も同じように効果的でしょうか。バックアップ戦略を定期的に見直し、更新することで、組織の変化するニーズや課題に合わせて、適切性と柔軟性を維持できます。技術の変化、ビジネス要件、業界のベストプラクティスを取り入れて、起こり得る脅威に先手を打ちましょう。データ損失や業務の中断リスクを軽減することができます。

よくある質問（FAQ）

Active Directory をバックアップするにはどうすればよいですか？

フル サーバー バックアップ、またはシステム状態バックアップを実行することで、Active Directory をバックアップできます。これには、Windows Server の GUI またはコマンドライン ツールのどちらも使用できます。

Active Directory にはバックアップの種類がいくつありますか？

Active Directory をバックアップする方法は主に 2 つあります。フル サーバー バックアップとシステム状態バックアップです。

Active Directory のユーザーとコンピューターをバックアップするにはどうすればよいですか？

次のものはバックアップできません。 Active Directory のユーザーとコンピューター（ADUC）。これは AD オブジェクトを管理するためのツールです。ただし、完全なサーバー バックアップを実行すると、AD のユーザーとコンピューターもバックアップされます。

Azure Active Directory をバックアップするにはどうすればよいですか？

AD では、オブジェクトに関連するバックアップのみが提供され、かつ提供期間は 30 日間のみです。ほかのいくつかのタスクには別の Azure Backup 機能がありますが、Azure AD をバックアップするための機能はありません。

Active Directory 2008 をバックアップするにはどうすればよいですか？

Windows Server Backup 機能を使用して、Active Directory 2008 をバックアップできます。

バックアップなしで Active Directory を復旧するにはどうすればよいですか？

難しいことではありますが、バックアップなしで AD を復旧することは可能です。Active Directory Recycle Bin が有効になっている場合をはじめ、AD 環境の再構築やサードパーティ製のオブジェクト復旧ツールの利用など、いくつかの選択肢があります。

Windows 2003 で Active Directory のバックアップを復元するにはどうすればよいですか？

ディレクトリ サービス復元モード（DSRM）で起動し、コマンド プロンプトを開いて、Ntdsutil.exe ユーティリティを使用して、最近のバックアップから権威ある（Authoritative）復元を実行します。

Active Directory のバックアップを復元するにはどうすればよいですか？

この作業は手動で行うことも、サードパーティのリカバリーツールの支援を受けて行うこともできます。手動の場合は、ドメイン コントローラーで DSRM にブートする必要があります。

バックアップには3種類ありますが、それは何ですか？

以下は、バックアップの主な3種類です。

フル バックアップ：フル バックアップは、選択したすべてのファイル、フォルダー、データベース、またはシステムを含む、データセット全体を取得します。

インクリメンタル バックアップ：インクリメンタル バックアップは、最後のバックアップ以降に行われた変更のみを取得します。最後のバックアップがフル バックアップであってもインクリメンタル バックアップであっても同様です。

差分バックアップ： 差分バックアップは、最後のフルバックアップ以降に行われた変更を取得します。最後のバックアップ以降の変更のみを取得する（最後がフルまたは増分のいずれであっても）増分バックアップとは異なり、差分バックアップは最後のフルバックアップ以降の変更を取得します。

バックアップ システムには4種類ありますが、それは何ですか？

バックアップ システムの4種類には、フルバックアップ、増分バックアップ、差分バックアップ、コピー バックアップが含まれます。

フルバックアップとは何ですか？

フルバックアップ（フル サーバー バックアップとも呼ばれます）は、AD を元の機能に復元することを目的として、状態システムを含む AD データのコピーを作成します。

バックアップ方法とは何ですか？

バックアップ AD の方法とは、バックアップを実行する際にどのように行うかを選択することを指し、主に2つの方法があります。Windows Server Manager を使うか、コマンドライン ツールを使うかのいずれかです。

Active Directory のバックアップにおけるベストプラクティスは何ですか？

実装できるActive Directory バックアップのベストプラクティス がいくつかあります。たとえば、AD を定期的にバックアップすること、バックアップを復元できることを確認するためにテストすること、そしてストレージに対して厳格なセキュリティ対策を講じることなどです。

Active Directory のバックアップはどこに保存されますか？

AD バックアップの保存場所は、希望する設定によって異なります。バックアップはローカルドライブ、クラウドストレージ、外付けドライブなどに保存することを選べます。