GPOのバックアップは、グループ ポリシーの管理で「グループ ポリシー オブジェクト」を右クリックし、全件なら「すべてバックアップ」、個別なら対象GPOを右クリックして「バックアップ」を選ぶのが基本です。保存先と、変更番号・目的・日付を含む説明を入力し、完了画面の成功件数と失敗件数を記録します。復元は同じドメインの元GPOを戻す操作、インポートはバックアップ内の設定を別のターゲットGPOへ取り込む操作です。Microsoftの現行資料では、復元はバックアップ元と異なるドメインへは実行できません。別ドメイン・フォレストへ移す場合はインポートと移行テーブルを使い、リンクやセキュリティフィルターが自動移行されない点を確認します。
GPOバックアップの対象を理解する
GPOはActive Directory内のコンテナーとSYSVOL内のテンプレートに分かれて保存されます。Microsoftは、単一GPOのデータが複数場所・形式にあるため、フォルダーを手作業でコピーして移行できないと説明しています。GPMCまたはGroupPolicy PowerShellモジュールの正式なバックアップ機能を使います。
GPOバックアップはポリシー変更の迅速な戻しに有効ですが、ドメインコントローラー、AD DS全体、SYSVOL、DNS、証明書などの災害復旧を単独で代替するものではありません。GPO運用バックアップとSystem Stateなど組織のディレクトリ復旧計画を分け、両方の復元テストを持ちます。
保存先とアクセス権を先に設計する
バックアップ先は、実行アカウントが書き込め、復元担当者だけが読める管理共有または保護されたストレージにします。GPOにはスクリプト、ソフトウェア配布先、内部UNCパス、セキュリティグループ名など機密性のある構成が含まれます。一般ユーザーの共有フォルダーや管理端末のデスクトップへ放置しません。
保存期間、世代数、暗号化、オフライン・別障害ドメインのコピー、改ざん検知、監査ログを決めます。同じGPOの複数世代を同じフォルダーに保存でき、GPMCが各バックアップを一意に識別します。フォルダー名だけで上書きを判断せず、バックアップID、GPO GUID、作成時刻、説明を台帳に残します。
GPMCですべてのGPOをバックアップする
GPMCを開き、対象フォレストとドメインを展開します。「グループ ポリシー オブジェクト」を右クリックし、「すべてバックアップ」を選びます。承認済み保存先と説明を入力して実行します。Microsoftの公式手順では、完了後のサマリーに成功したGPO数と失敗したGPOが表示されます。
失敗が一件でもあれば完了にせず、GPO名、エラー、アクセス権、空き容量、到達性を確認して再実行します。全件バックアップの実行前後でGPO総数を数え、廃止予定や無効化中のGPOも運用方針どおり含まれるか確認します。日次・週次の自動化とは別に、大きな変更直前の個別バックアップも取ります。
個別GPOは変更直前にバックアップする
対象GPOを右クリックして「バックアップ」を選び、変更要求番号、変更前の目的、担当者、日時を説明へ入力します。同じ保存先に複数世代を残せるため、「最新」だけの曖昧な命名より、GPMCでバックアップIDと時刻を確認します。既存GPOを編集する直前に実行すると戻し先が明確です。
PowerShellではBackup-GPOを使えます。定期処理を設計する場合は、対象ドメイン、GPO名または全件、保存先、コメント、実行アカウント、終了コード、ログ、失敗通知を明示します。初回からタスクスケジューラへ登録せず、読み書き権限と復元可能性を手動試験してから自動化します。
Manage Backupsで内容を確認する
「グループ ポリシー オブジェクト」を右クリックし、「バックアップの管理」を開きます。保存先を指定し、GPO名、バックアップ時刻、説明を確認します。「各GPOの最新バージョンのみ表示」を使うと日常確認は簡単ですが、復元時は必要な過去世代が隠れていないか注意します。
Microsoftは、アーカイブされたGPOをファイルシステム上で直接操作しないよう警告しています。GUIDフォルダーの名前変更、内部XMLの編集、一部ファイルだけのコピー、手動削除をしません。世代削除もGPMCの管理機能と保持ポリシーで行い、削除対象と残す最新正常世代をレビューします。
GPOレポートを併せて保存する
バックアップと同時に、Get-GPOReportでHTMLまたはXMLのレポートを生成すると、設定、リンク、セキュリティフィルター、WMIフィルター、委任、ユーザー・コンピューター構成を人が確認できます。Microsoftの公式コマンド資料は、これらの項目がレポートへ含まれると説明しています。
レポートはバックアップそのものではなく、復元や差分レビューの証拠です。バックアップID、レポート、変更票、GPMCスクリーンショットを同じ世代IDで関連付けます。HTMLには組織構成や内部パスが含まれるため、公開サイトや一般共有へ置かず、バックアップと同等にアクセス制御します。
復元とインポートを区別する
復元は、バックアップしたGPOを元のドメインへ戻します。既存GPOを過去状態へ戻す場合と、削除済みGPOをバックアップの管理から戻す場合があります。Microsoftは異なるドメインへ復元できないと明記しています。元ドメインでない場合にRestore-GPOを試し続けません。
インポートはバックアップ内のポリシー設定を指定ターゲットGPOへ取り込みます。Microsoftの現行資料では、インポートはターゲットGPOの設定だけを変更し、既存のセキュリティフィルターやリンクを変更しません。別ドメイン、別フォレスト、信頼関係のない環境へ設定を移す用途に適します。
移行テーブルで参照先を置き換える
別ドメインへコピーまたはインポートするGPOに、セキュリティプリンシパルやUNCパスが含まれる場合、移行テーブルで新しい値へマッピングします。フォルダーリダイレクト、ソフトウェア配布、ログオン・起動スクリプトの外部パス、グループ参照を洗い出します。
Microsoftは、GPO外に保存されたスクリプトはコピー・インポートで自動コピーされないと説明しています。新環境に同名サーバーやグループがあるという推測で移しません。移行テーブルをレビューし、存在確認、アクセス権、署名、ハッシュ、テストユーザーでの結果を確認します。
復元前に影響範囲と戻し方を承認する
本番GPOの復元は、多数の利用者・端末のセキュリティと業務動作を一度に変える可能性があります。対象GPO GUID、バックアップID、変更差分、リンク先OU、適用数、Enforced、ブロック継承、WMI・セキュリティフィルターを確認し、保守時間と監視条件を承認します。
「すべて復元」を通常の復旧手順にせず、失敗した一つのGPOを特定世代から戻す方針を基本にします。復元直前にも現状態を別世代としてバックアップし、誤った過去版だった場合に再度戻せるようにします。AD複製とSYSVOL複製が正常かを確認し、複製障害中に一貫性を期待しません。
隔離環境で復元テストを行う
バックアップ成功の表示だけでは、復元できる保証になりません。検証ドメインまたは承認されたラボで、GPMCがバックアップを読み取れること、意図したバックアップIDを選べること、設定が戻ること、インポート時にターゲットのリンク・フィルターが維持されることを定期的に確認します。
テスト後はGet-GPOReportで元と復元後の設定を比較し、代表クライアントのgpresultと業務動作を確認します。復元時間、権限、必要ツール、失敗点をランブックへ反映します。本番で初めて復元操作を試す運用を避け、担当者交代後も同じ手順で実施できるようにします。
確認チェックリスト
- GPMCまたはBackup-GPOを使い、ファイル手動コピーをしない
- 全件数、成功数、失敗数、バックアップIDを記録する
- 保護された別障害ドメインの保存先と保持世代を用意する
- Get-GPOReportでリンク・フィルターを含む証拠を残す
- 復元は同一ドメイン、別環境はインポートと区別する
- 本番前に隔離環境で特定世代の復元をテストする
GPOバックアップの価値は、作成したことではなく、正しい世代を識別し、影響を限定して復元できることにあります。MicrosoftのGPMC管理機能を使い、アーカイブを直接編集せず、アクセス制御、世代保持、レポート、復元演習を運用に含めてください。本番復元では対象GPOだけを止めどころ付きで扱い、AD・SYSVOL複製とクライアント適用まで検証します。
コメント