公開日: 2024年6月2日
Active Directoryの障害対応：ログオンできない・GPOが効かないときの切り分け手順
「パスワードを変えたのに入れない」「一部のPCだけ設定が反映されない」。Active Directoryの障害では、同じ症状でも原因がアカウント、端末、DNS、ドメインコントローラー（DC）のどこにあるかで対応が変わります。
この記事はWindows Server 2019／2022／2025のActive Directory Domain Services（AD DS）とWindows 11端末を主な対象に、設定変更より先に読み取り中心の確認で調査範囲を絞る手順です。管理ツールは必要な権限と導入済みの環境で使用します。Microsoft Entra IDのみの環境は対象外です。
1. 最初に「誰が、どこで、何に失敗したか」を分ける
発生時刻、エラー全文、対象ユーザー・端末、直前の変更を残します。「ADがおかしい」ではなく、次のように範囲を整理してください。
- 1人だけ失敗する：アカウントのロック、期限、無効化、利用条件を優先して確認する。
- 1台だけ失敗する：端末のDNS、ネットワーク、時刻、コンピューターアカウントとの信頼関係を調べる。
- 同じ拠点の複数人が失敗する：共通のDNS、拠点間通信、接続先DCを調べる。
- ログオンはできるが、設定や変更だけ反映されない：GPOの適用対象と処理結果、DC間の複製を調べる。
これは原因の断定ではなく、調査を始める順番です。正常端末との比較には既存の記録を使い、他人のパスワードを借りたり、失敗するログオンを繰り返したりしないでください。
Windowsへログオンできても、過去の情報を使ったキャッシュログオンの場合があります。それだけでDCとの通信が正常とは判断できません。Microsoft：キャッシュされたドメインログオン情報
2. 複数端末に影響するなら、DNSと時刻を先に確認する
対象端末で、まず現在の設定を読み取ります。
ipconfig /all
w32tm /query /status
w32tm /query /sourceipconfigでは、利用中のアダプター、DNSサーバー、DNSサフィックスを正常端末と比較します。VPN接続時だけ起きるなら、接続前後の違いも手掛かりです。インターネットが見えることと、ADの名前解決ができることは別です。端末のDNSを外部公開DNSへ変えず、組織のAD用DNS設計と照合してください。Microsoft：DNSクライアント設定の推奨事項
DCを見つけるためのSRVレコードも確認します。次はnslookupを起動して1行ずつ入力する例です。ad.example.com は実際のADのDNSドメイン名に置き換えます。管理する組織のDNSへ照会し、社内の名前を外部サービスへ送信しないでください。
nslookup
set type=all
_ldap._tcp.dc._msdcs.ad.example.com
exit- DC名が返る：そのDNSへの問い合わせは成立しています。返ったDC名のIPアドレスと通信経路を次に確認します。認証成功までは保証しません。
- 存在しないと返る：問い合わせ先DNS、ドメイン名、SRVレコードを確認します。
- タイムアウトする：DNSサーバーへの到達性や応答状況を調べます。これだけでレコード消失とは断定できません。
w32tmでは同期元、最終同期時刻、エラーを確認します。表示時刻だけでなく、予定した同期元を参照しているかが重要です。異常があっても、いきなり手動補正や同期先変更をせず、DC・仮想化基盤を含む時刻同期の構成を確認します。Microsoft：Windows Timeサービスのツールと設定
3. 1人だけログオンできない場合は、解除前に記録を残す
管理者は対象アカウントの状態と、失敗した時刻のログを確認します。ロック解除やパスワードリセットだけを繰り返すと、古い資格情報を使う処理が残り、再発することがあります。
監査が有効でログが残っていれば、DCのSecurityログにあるイベント4740から、ロックされたアカウントとCaller Computer Nameを確認します。送信元の手掛かりであって、利用者本人の操作や不正アクセスを単独で証明する情報ではありません。Microsoft：イベント4740
発生元として示された端末では、保存済み資格情報、サービス、タスク、接続したままのセッションなどを調査対象にします。見覚えのない端末や大量の認証失敗がある場合は、通常の復旧と並行して組織のセキュリティ対応へ引き継ぎます。
4. GPOが効かない場合は「対象外」と「処理失敗」を区別する
対象端末の適用結果を先に確認します。ユーザー設定は問題が起きたユーザーで、コンピューター設定は必要な管理権限で取得してください。
gpresult /scope user /r
gpresult /scope computer /r詳細を残す場合は、gpresultの /h でHTMLレポートを保存できます。レポート上のユーザー名・コンピューター名が調査対象と一致することも確認します。Microsoft：gpresult
対象GPOが適用されていなければ、リンク先OU、ユーザー設定とコンピューター設定の区別、セキュリティフィルター、WMIフィルターなどを確認します。処理エラーがあれば、Systemログと「Microsoft-Windows-GroupPolicy/Operational」を同じ時刻・ActivityIDで追います。Microsoft：グループポリシー適用のトラブルシューティング
gpupdate /force を先に繰り返すと、調査したかった処理と別の実行結果が混ざります。まず現状を保存し、再適用は設定内容とログオフ・再起動などの影響を確認してから行います。
5. DCによって結果が違うなら、複製の方向と最終成功時刻を見る
アカウント変更が拠点によって見えない場合、変更を受け付けたDCと、確認に使ったDCを特定します。管理者がDCまたはRSATを備えた管理端末から、対象DCの受信複製状態を確認します。DC01 は実際のDC名に置き換えてください。
repadmin /showrepl DC01相手DC、対象のディレクトリパーティション、最終成功時刻、直近の失敗コードを確認します。サイト間の予定された複製間隔と、失敗が継続している状態を分けます。1台の結果だけで全体を正常とせず、関係するDCの結果を比較します。
複製はDNS、ネットワーク、認証、時刻などに依存します。エラーコードを保存し、該当する公式手順に絞って調査してください。Microsoft：ADの複製障害を診断する
6. 変更に進む前の停止条件と、引き継ぎに必要な情報
DCの再起動、強制複製、ドメイン再参加、メタデータ削除、バックアップからの復元は、この初期確認とは別の作業です。dcdiagも全オプションが読み取り専用ではなく、/fix や一部のテストは修復・複製を伴います。用途を確認せず包括的に実行しないでください。Microsoft：DCDiag
稼働中のDCが1台しかない、長期間複製に失敗している、復元や侵害の可能性がある場合は、調査結果を保存し、復旧方針を決めてから変更します。
保守会社へ引き継ぐときは、次の内容があると調査を再開しやすくなります。
- 発生日時とタイムゾーン、影響する業務・人数・拠点
- 正常な端末と異常な端末、対象DCとOSバージョン
- エラー全文、確認したDNS・時刻・GPO・複製の結果
- 直前の変更と、実施済みの操作・結果
- バックアップ状況、停止可能時間、変更の判断者
ログには社内の名前や構成情報が含まれます。公開掲示板へそのまま貼らず、合意した方法で必要な相手へ渡してください。ソルブネオへの相談でも、最初は症状と影響範囲が分かれば、追加で確認すべき情報を整理できます。