Hogyan lehet visszaállítani az Active Directoryt biztonsági másolatból?

Ebben a cikkben bemutatjuk, hogyan lehet visszaállítani az Active Directory tartományvezérlőt egy korábban létrehozott rendszerállapot-mentésből (lásd az Active Directory biztonsági mentéséről szóló cikket), és megvitatjuk az AD DC helyreállítás típusait és alapelveit.

Tegyük fel, hogy az AD tartományvezérlője meghibásodott, és vissza szeretné állítani egy biztonsági másolatból. Mielőtt elkezdené a DC visszaállítását, meg kell értenie, melyik forgatókönyvet használja. Ez attól függ, hogy vannak-e más tartományvezérlők a hálózatban, és az Active Directory adatbázis állapotától függ.

Hogyan lehet visszaállítani a tartományvezérlőt a replikáció használatával?

Az egyenáramú helyreállítás szabványos AD-replikáción keresztül nem egészen a DC helyreállítása biztonsági másolatból. Ezt a forgatókönyvet akkor használhatja, ha több tartományvezérlője van a vállalati hálózatban, és mindegyik működőképes. Ez a forgatókönyv új kiszolgáló telepítését foglalja magában, és annak további előterjesztését egy új ADDS tartományvezérlővé ugyanazon a helyen. A régi DC-t egyszerűen eltávolítják az AD-ből.

Ez a legegyszerűbb módja, amely nem kapcsolódik visszafordíthatatlan AD-módosításokhoz. Ebben a forgatókönyvben az ntds.dit adatbázis, a csoportházirend-fájlok és a SYSVOL mappa tartalma automatikusan replikálódik az új tartományvezérlőre az online maradt DC-kről.

Ha az ADDS adatbázis kicsi, és egy másik DC is elérhető egy nagy sebességű hálózati kapcsolaton keresztül, a fent leírt módszer gyorsabb, mint a DC visszaállítása biztonsági másolatból.

Az Active Directory visszaállítási típusai: hiteles és nem hiteles

Kétféle Active Directory DC-visszaállítás létezik biztonsági másolatból, amelyeket egyértelműen meg kell értenie, mielőtt megpróbálná megtenni:

• Meghatározó visszaállítás - miután visszaállította az AD-objektumokat, a replikáció a visszaállított DC-ről az összes többi tartományvezérlőre történik. Ezt a visszaállítási típust olyan esetekben használják, amikor egyetlen DC vagy az összes DC meghibásodott egyszerre (például zsarolóvírus- vagy vírustámadás után), vagy egy sérült NTDS.DIT adatbázist replikáltak egy tartományon keresztül. Ebben a módban az összes visszaállított AD-objektum USN (frissítési sorrendszáma) értéke 100 000-rel nő. Így a DC-k minden visszaállított objektumot újabbként látnak majd, és replikálódnak a tartományban. Nagyon óvatosan használd az Authoritative Restore-t!!!

  Az Authoritative Restore során elveszíti a legtöbb AD-módosítást, amelyet a biztonsági másolat létrehozása után hajtottak végre (AD-csoport tagság, Exchange-attribútumok stb.).

• Nem hiteles visszaállítás - miután visszaállította az AD-adatbázist, a vezérlő értesíti a többi DC-t, hogy biztonsági másolatból visszaállították, és szüksége van a legújabb AD-módosításokra (új DSA-hívási azonosító jön létre a DC-hez ). Ezt a helyreállítási módszert távoli helyeken használhatja, ha nehéz gyorsan replikálni egy nagy AD-adatbázist lassú WAN-csatornán keresztül, vagy ha fontos adatok vagy alkalmazások voltak a kiszolgálón.

Állítsa vissza az Active Directory tartományvezérlőt a rendszerállapot biztonsági másolatából

Tegyük fel, hogy csak egy DC van a tartományban. Valamilyen oknál fogva egy fizikai szerver, amelyen fut, meghibásodott.

A tartományvezérlője viszonylag friss rendszerállapottal rendelkezik, és az Active Directoryt egy vadonatúj kiszolgálón szeretné visszaállítani az Authoritative Restore segítségével.

A DC-visszaállítás elindításához ugyanazt a Windows Server-verziót kell telepítenie, mint egy meghibásodott DC-re. Telepítse az ADDS szerepkört (ne konfigurálja) és a Windows Server Backup funkciót az imént telepített Windows Server kiszolgálón.

Az Active Directory visszaállításához DSRM (Directory Services Restore Mode) módban kell indítania a kiszolgálót. Ehhez futtassa az msconfig programot, és válassza a Biztonságos rendszerindítás -> Active Directory javítás lehetőséget a Boot lapon.

Indítsa újra a szervert. A DSRM-ben fog elindulni. Futtassa a Windows Server biztonsági másolatot (

wbadmin

), és válassza a Visszaállítás lehetőséget a jobb oldali menüben.

A Helyreállítási varázslóban jelölje be a „Másik helyen tárolt biztonsági másolat” lehetőséget.

Ezután válassza ki a lemezt, amelyen a régi AD tartományvezérlő biztonsági másolata található, vagy adja meg az UNC elérési utat.

wbadmin get versions -backupTarget:D:

Válassza ki a helyreállításhoz használandó biztonsági mentés dátumát.

Jelölje be a Rendszerállapot lehetőséget a visszaállításhoz.

Válassza az Eredeti hely lehetőséget, és jelölje be az Az Active Directory-fájlok hiteles visszaállításának végrehajtása jelölőnégyzetet.

A rendszer figyelmeztetést jelenít meg, hogy ez egy másik szerver biztonsági másolata, és ha egy másik kiszolgálón állítja helyre, előfordulhat, hogy nem működik. Kattintson az OK gombra.

Egy másik figyelmeztetéssel is egyetértenek:

Windows Server Backup
Note: This recovery option will cause replicated content on the local server to re-synchronize after recovery. This may cause potential latency or outage issues.

Ezután elindul az AD tartományvezérlő helyreállítási folyamata egy új kiszolgálón. Ha véget ér, a szerver újraindítást igényel (az új szerver neve a biztonsági másolatban szereplő DC gazdagépnévre változik).

Indítsa el a kiszolgálót normál módban (tiltsa le a DSRM-et az msconfig segítségével).

Jelentkezzen be a szerverre egy domain rendszergazdai jogosultságokkal rendelkező fiókkal.

Amikor először futtattam az Active Directory felhasználók és számítógépek (ADUC) konzolt, a következő hibaüzenetet kaptam:

Active Directory Domain Services
Naming information cannot be located for the following reason:
The server is not operational.

Nem volt SYSVOL és NETLOGON mappa a visszaállított tartományvezérlőn A hiba javítása:

1. Futtassa a regedit.exe fájlt;

2. Nyissa meg a rendszerleíró kulcsot: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters;

3. Módosítsa a SysvolReady értéket 0-ról 1-re;

   

4. Ezután indítsa újra a NetLogon szolgáltatást:

   net stop netlogon & net start netlogon

   

Próbáld meg újra megnyitni az ADUC-t. Látni fogja a domain szerkezetét.

Tehát sikeresen helyreállította AD-tartományvezérlőjét Hiteles visszaállítás módban. Ezután az Active Directory összes objektuma automatikusan replikálódik más tartományvezérlőkre.

Ha az egyetlen DC-je maradt, győződjön meg róla, hogy mind az 5 FSMO szerepkör tulajdonosa, és szükség esetén vegye le őket.

Hogyan lehet visszaállítani különálló AD-objektumokat biztonsági másolatból?

Ha bizonyos AD-objektumokat szeretne visszaállítani, használja az Active Directory Lomtárat. Ha a sírkő élettartama már lejárt, vagy az Active Directory Lomtár nincs engedélyezve, a hiteles visszaállítás mód használatával különálló AD-objektumokat állíthat vissza.

Röviden, az eljárás a következő lépésekből áll:

1. Indítsa el a DC-t DSRM módban;

2. Jelenítse meg az elérhető biztonsági másolatok listáját:

   wbadmin get versions

3. Indítsa el a kiválasztott biztonsági másolat helyreállítását:

   wbadmin start systemstaterecovery -version:[your_version]

4. Erősítse meg az egyenáramú visszaállítást (Nem hiteles módban)

5. Az újraindítás után futtassa a

   ntdsutil

6. activate instance ntds

7. authoritative restore

Adja meg a visszaállítani kívánt objektum teljes LDAPl elérési útját. Visszaállíthatja a teljes szervezeti egységet:

restore subtree ″OU=Users,DC=a-d,DC=com″

Vagy egyetlen AD objektum:

restore object “cn=Test,OU=Users,DC=a-d,DC=com”

Ez a parancs megtagadja a megadott objektumok (útvonalak) replikációját más tartományvezérlőkről, és 100 000-rel növeli az objektum USN-jét.

Kilépés az ntdsutilból:

quit

Indítsa el a DC-t normál módban, és ellenőrizze, hogy az objektum vissza lett-e állítva.