Active Directoryのトラブルシューティングガイド：よくある問題とその解決策

Active Directory（AD）は企業のITインフラの中核をなす重要なシステムですが、トラブルが発生することがあります。 本記事では、よくあるActive Directory（AD）の問題と確認方法について説明します。 変更を加える前に、発生時刻、対象ユーザーや端末、エラーコード、影響範囲を記録し、原因を一つずつ切り分けてください。

1. ログオン失敗の問題

問題の概要

ユーザーがADにログオンできない。

原因と解決策

• パスワードの期限切れ
  • 解決策：本人確認と組織の手順に従ってパスワードをリセットし、必要に応じて次回ログオン時の変更を求めます。
  • 確認事項：パスワードの有効期限、アカウントの状態、認証先のドメインコントローラーを確認します。
• アカウントロックアウト
  • 解決策：ロックアウト元と失敗の原因を調べてから、組織の手順に従ってロックを解除します。
  • 確認事項：古い資格情報を保持した端末やサービス、タスク、モバイル端末に加え、不正な試行の可能性も確認します。
• ネットワーク接続の問題
  • 解決策：クライアントがAD用DNSサーバーを参照しているか、ドメインコントローラーの名前解決と時刻同期が正常かを確認します。
  • 確認事項：疎通、DNSのSRVレコード、イベントログを確認し、単一の結果だけで原因を断定しないでください。

2. グループポリシーが適用されない

問題の概要

グループポリシーがクライアントPCに適用されない。

原因と解決策

• ポリシーの伝播に時間がかかっている
  • 解決策：通常の更新を待つか、影響を確認したうえで対象端末のgpupdateを実行します。/forceは全ポリシーを再適用するため、常用しないでください。
  • 確認事項：gpresultやグループポリシー結果ウィザードで、適用済み・拒否されたポリシーと理由を確認します。
• セキュリティフィルターの設定ミス
  • 解決策：GPOのリンク先、セキュリティフィルター、WMIフィルター、継承設定を確認し、対象のユーザーまたはコンピューターが適用条件を満たすか確認します。
  • 確認事項：変更前の設定を記録し、影響範囲の小さい検証用OUで確認してから本番へ反映します。
• DNS設定の不備
  • 解決策：クライアントとドメインコントローラーのDNS設定、名前解決、SYSVOLとNETLOGON共有へのアクセスを確認します。
  • 確認事項：外部DNSをADクライアントの参照先へ直接設定せず、組織のAD DNS設計に従ってください。

3. レプリケーションの失敗

問題の概要

ADのレプリケーションが失敗する。

原因と解決策

• ネットワークの不安定さ
  • 解決策：repadmin /replsummary、repadmin /showrepl、dcdiag、Directory Serviceイベントログで、失敗している相手とエラーコードを確認します。
  • 確認事項：ネットワーク、DNS、認証、時刻同期、RPC通信を順に切り分けます。
• サイトリンクの設定ミス
  • 解決策：Active Directoryサイトとサービスで、サブネット、サイトリンク、スケジュール、コストが実際のネットワーク構成と一致しているか確認します。
  • 確認事項：自動生成された接続オブジェクトを、原因を確認せず手動で削除・作成しないでください。
• NTDS設定の問題
  • 解決策：イベントIDとrepadminのエラーコードをMicrosoftの公式手順と照合し、エラーごとの対処を行います。
  • 確認事項：強制レプリケーションやメタデータの変更は、障害内容と影響を理解した管理者が実施してください。

4. アカウントの作成や変更が反映されない

問題の概要

新しく作成したアカウントや変更がすぐに反映されない。

原因と解決策

• レプリケーション遅延
  • 解決策：変更を行ったドメインコントローラーと、参照先のドメインコントローラーを確認し、レプリケーション状態を調べます。
  • 確認事項：サイト間レプリケーションのスケジュール内か、エラーによる遅延かを区別し、原因を確認せず強制同期しないでください。
• 参照先や認証情報の違い
  • 解決策：管理ツールやクライアントがどのドメインコントローラーを参照しているか、既存のセッションやKerberosチケットが残っていないかを確認します。
  • 確認事項：影響範囲を確認してから、必要なセッションの再接続や再認証を行います。

まとめ

Active Directoryのトラブルシューティングは、システム管理者にとって重要なスキルです。 認証、DNS、時刻同期、グループポリシー、レプリケーションは相互に関係しています。エラーコードと影響範囲を確認し、変更内容を記録しながら切り分けることが重要です。

自社での切り分けが難しい場合は、ソルブネオへご相談ください。

参考：AD DS Troubleshooting（Microsoft Learn）