ディレクトリサービス復元モード（DSRM）とは？Windows Serverドメインコントローラーを安全に起動・復元する方法

公開日：2023年8月14日／執筆：Rahul Awati

ディレクトリサービス復元モード（DSRM）とは

ディレクトリサービス復元モード（Directory Services Restore Mode：DSRM）は、Windows Serverのドメインコントローラーに用意されたセーフモード起動オプションです。管理者はこのモードを利用して、Active Directory（AD）データベースの修復・回復・復元作業を行えます。ドメインコントローラーをDSRMで再起動すると、サーバーはオフライン状態となり、通常のスタンドアロンサーバーとしてのみ動作します。

DSRMはWindows OSのセーフモードとよく似た仕組みですが、利用できるのはWindows Serverのドメインコントローラーのみです。DSRMが利用可能な主なバージョンは以下の通りです。

• Windows Server 2022
• Windows Server 2019
• Windows Server 2016
• Windows Server 2012 R2
• Windows Server 2008 R2
• Windows Server 2008
• Windows Server 2003

DSRMの主な目的は、システム管理者がシステムにログオンし、ADデータベースを復元または修復できるようにすることです。DSRMを使用するには、あらかじめパスワードを設定したDSRMローカル管理者アカウントを作成しておく必要があります。サーバーの起動時にDSRMでドメインコントローラーへサインインする際や、システムエラー・障害発生後にADバックアップを復元する際には、このアカウントを使用します。ドメインコントローラーの運用中にこのパスワードが変更されることはまれですが、Ntdsutilツールを使えばサーバーを再起動することなく、ドメイン内の任意のサーバーに対してパスワードをリセットできます。

DSRMとセーフモードの違い

Windows Serverのドメインコントローラーにおいて、DSRMは一般的なセーフモードとは同じではありません。DSRMは、ドメインコントローラーがセーフモードでの起動を試みたものの失敗した場合などに使用されます。通常、DSRMが必要になるのは、ADが破損し、通常のAD資格情報では管理者がログオンできないケースです。このような状況ではADが正常に起動しないため、特にADのドメイン全体またはフォレスト全体の復元を実施する際にはDSRMが不可欠となります。

管理者がDSRMアカウントにログオンする手順

ドメインコントローラーをDSRMで再起動するには、管理者はDSRM管理者アカウントにログオンする必要があります。手順は以下の通りです。

1. DSRMで起動し、「ユーザーの切り替え」＞「その他のユーザー」をクリックします。
2. ログオンアカウント名として「.\Administrator」と入力します。
3. Ntdsutilコマンドラインツールを使用して、.\AdministratorアカウントのDSRMパスワードをリセットします。
4. ADサーバーが正常に動作していない場合は、パスワード復旧ツールを使ってDSRMパスワードをリセットします。

DSRMアカウントへのログオン時、最初のログオン画面には「MyDomain\Administrator」のようなアカウント名が表示されることがありますが、これではログオンできません。管理者はまず「ユーザーの切り替え」をクリックし、「.\Administrator」という名前を手動で入力する必要があります。

また、BIOSのPOST（電源投入時セルフテスト）画面の後、Windowsロゴが表示される前にF8キーを繰り返し押すことでも、DSRMを手動で起動できます。これにより「ディレクトリサービス復元モード（Directory Services Restore Mode）」などの高度なブートオプションを含むテキストメニューが表示されるので、該当項目を選択してEnterキーを押せばDSRMに入れます。

ドメインコントローラーは、大規模組織におけるネットワークアクセスの認証・承認を保護する重要な基盤である一方、その運用には相応のコストとリスクが伴います。

Windows ServerでDSRM管理者パスワードをリセットする手順

Windows ServerにADをインストールし、ドメインコントローラーへの昇格を行う際、インストールウィザードは管理者に対してDSRMパスワードの設定を求めます。このパスワードは、後で問題が発生した場合にデータベースへアクセスするための「非常口」として機能します。DSRMでのメンテナンスや復旧作業にも不可欠ですが、ドメイン自体や各種サービスへのアクセス権を付与するものではありません。

管理者がDSRMパスワードを忘れたり紛失したりした場合は、Ntdsutilコマンドラインツールを使って変更できます。このツールには、Windows 2000以降Microsoft Windowsに搭載されてきたSetpwdユーティリティの機能が統合されています。Windows ServerでDSRM管理者パスワードをリセットする手順は以下の通りです。

1. 「スタート」＞「ファイル名を指定して実行」を開き、「Ntdsutil」と入力して「OK」をクリックします。
2. Ntdsutilのコマンドプロンプトで「set dsrm password」と入力します。
3. DSRMのコマンドプロンプトで、現在のサーバーのパスワードをリセットする場合は「reset password on server null」、別のサーバーのパスワードをリセットする場合は「reset password on server サーバー名」と入力します。
4. 新しいパスワードを入力します。
5. DSRMのコマンドプロンプトで「q」と入力します。
6. Ntdsutilのコマンドプロンプトで再度「q」と入力して終了します。

DSRMパスワードは、管理者が現在操作しているサーバーだけでなく、ドメイン内の別のドメインコントローラーに対してもリセットできます。パスワードが変更されるたびにWindowsイベントID（4794）が生成されるため、他の権限を持つ管理者はこれらの試行を確認し、非管理者や悪意のあるユーザーによる不正な操作がないかを把握できます。

DSRMのセキュリティリスク

DSRM管理者アカウントのパスワードは、悪意ある侵入者に悪用されると組織にとって重大なセキュリティリスクとなります。例えば、脅威アクターはこのパスワードを使ってドメインコントローラーに永続的なバックドアを作成できます。このバックドアにより、攻撃者は企業ネットワーク内に足場を維持し、いつでもADへアクセスして機密リソースやデータへの侵入を試みることが可能になります。さらに、ADから資格情報を盗み出したり、特権サービスアカウントを改ざんしたり、Windowsのローカルリンクマルチキャスト名前解決（LLMNR）機能を利用してトラフィックパケットを傍受したりする恐れもあります。

場合によっては、ハッカーが既知の脆弱性の悪用やソーシャルエンジニアリングによって特権アカウントのハッシュを窃取したり、権限を昇格させたりすることもあります。忘れられたパスワード、紛失したパスワード、初期設定のままのDSRM管理者アカウントパスワードは、マルウェア攻撃、LDAP（Lightweight Directory Access Protocol）偵察、さらにはドメイン支配（Domain Dominance）のリスクをも高めます。ADへの無制限なアクセスを許してしまうと、攻撃者が組織のバックアッププロセスを侵害し、ntds.ditファイルからすべてのADデータを抽出する事態にもなりかねません。

こうしたリスクを回避するため、管理者はDSRMアカウントのパスワードを定期的に更新しなければなりません。加えて、デフォルトのパスワードを使用せず、各ドメインコントローラーごとに固有のアカウントパスワードを設定することも重要です。

DSRM管理者アカウントのパスワードを保護するためのその他の推奨セキュリティ対策は以下の通りです。

• レジストリで、HKLM\System\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehaviorキーの値を1に設定します。
• レジストリで、HKLM\System\CurrentControlSet\Control\Lsa\DsrmAdminLogonBehaviorキーの値が2に設定されていないことを確認します。
• WindowsイベントID 4794を監視し、発生時に管理者へ通知するアラートを設定します。

ADでよくある問題のトラブルシューティング手法や、レプリケーションのトラブルシューティングに関するヒントも併せてご覧ください。

ディレクトリサービス復元モード（DSRM）に関連する記事

• Windows 11セーフモードの仕組みと活用シーン
• Active Directoryの復元方法でシステムを復旧させる
• DNSバックアップとリストアの実施方法
• LinuxとWindowsのDNSサーバートラブルシューティング
• ADグループメンバーシップのバックアップと復元方法

Microsoft IDおよびアクセス管理をもっと深く知る

• より強固なセキュリティのためのWindows LAPS導入ガイド（著者：Brien Posey）
• ドメインコントローラーとは何か？（著者：Gavin Wright）
• セキュリティと速度向上につながる読み取り専用ドメインコントローラー（RODC）の導入（著者：Damon Garn）
• Windows Server 2025で追加される新しいActive Directory機能（著者：Brien Posey）