ADごみ箱とは？有効化していないと詰む理由と、誤削除からの復元方法

ADも触ったことがある方に質問です。
ADごみ箱（AD Recycle Bin）というものをご存じでしょうか？

ADごみ箱（AD Recycle Bin）は、デフォルトで無効です。
そして一度有効化すると、二度と無効化できません。

「必要になったら有効化すればいい」と思っていると、必要になったそのタイミングで手遅れになる場合もあります。
この記事では、ADごみ箱について現場でよく出る疑問をQ&A形式で整理します。

ADごみ箱って結局何？

Active Directoryのオブジェクト（ユーザー・グループ・OUなど）を誤って削除してしまったときに、属性を保持したまま復元できる機能のことを指します。

ADごみ箱（AD Recycle Bin） 削除されたADオブジェクトを、属性を保持したまま復元できる機能。Windows Server 2008 R2以降で利用可能。

有効化されていれば、Active Directory管理センター（ADAC）の「削除済みオブジェクト」コンテナーから、すぐに復元できます。PowerShellならGet-ADObjectで検索し、Restore-ADObjectで復元する流れも可能です。

「tombstone（墓石）」と呼ばれる状態になります。オブジェクト自体は一定期間残りますが、属性の大半が失われた状態で、通常の手段では実質復元できないようです。

つまり有効化していない環境で誤削除が起きると、頼れるのは前回取得時点のバックアップだけになります。当日分の変更（アカウント作成・グループ変更など）はすべて失われることになります。

有効化には2つの制約があるためです。

この「後戻りできない」という性質のせいで、有効にするか迷ってしまいます。しかし判断を先延ばしにできるのは、事故が起きるまでの間だけです。事故が起きてから「じゃあ有効化しよう」としても、その事故で失われたデータは戻ってきません。

ADAC（Active Directory 管理センター）を開き、左ペインを確認し「削除済みオブジェクト」というコンテナーが表示されていれば、有効化済みです。表示されていなければ、まだ有効化されていません。

ここは誤解されやすいポイントです。「復元できる」と「削除前と完全に同じ状態に戻る」は、必ずしもイコールではありません。

特に、削除されたオブジェクトが他のオブジェクトから参照されていた場合（例えば、あるグループのメンバーだった場合など）、参照関係がどこまで復元されるかはケースバイケースです。復元したのに、気づいたらグループメンバーシップが一部抜けていた、ということも起こり得ます。

この「どこまで戻って、どこが戻らないか」については、実際にOUを誤削除してから復元してみた検証記事で具体的にまとめる予定です。

「削除保護期間（Deleted Object Lifetime）」という設定で決まるのですが、既定値は180日です。この期間内であれば復元を試みられますが、期限を過ぎると通常のtombstoneと同じ扱いになり、復元は難しくなるようです。

確認することは1つです。自分の環境でADごみ箱が有効化されているか、ADACを開いて確認してください。

有効化するかどうかの判断は組織の方針にもよりますが、少なくとも「有効化しているかどうかを知らない」状態のまま運用するのは避けたいところです。

OU設計そのものについては「ADのOU（組織単位）とは？設計の基本と実務パターン」で詳しく解説しています。