วิธีคืนค่า Active Directory จากข้อมูลสำรอง

ในบทความนี้ เราจะแสดงวิธีคืนค่าตัวควบคุมโดเมน Active Directory จากการสำรองข้อมูลสถานะระบบที่สร้างขึ้นก่อนหน้านี้ (ดูบทความการสำรองข้อมูล Active Directory) และหารือเกี่ยวกับประเภทและหลักการของการกู้คืน AD DC

สมมติว่า ตัวควบคุมโดเมน AD ของคุณล้มเหลว และคุณต้องการคืนค่าจากสำเนาสำรอง ก่อนที่คุณจะเริ่มกู้คืน DC ของคุณ คุณต้องเข้าใจสถานการณ์ที่จะใช้ ขึ้นอยู่กับว่าคุณมีตัวควบคุมโดเมนอื่นในเครือข่ายของคุณหรือไม่ และความสมบูรณ์ของฐานข้อมูล Active Directory บนตัวควบคุมเหล่านั้น

วิธีคืนค่าตัวควบคุมโดเมนโดยใช้การจำลองแบบ

การกู้คืน DC ผ่านการจำลองแบบ AD มาตรฐานไม่ใช่การกู้คืน DC จากข้อมูลสำรองเสียทีเดียว คุณสามารถใช้สถานการณ์นี้ได้หากคุณมีตัวควบคุมโดเมนหลายตัวในเครือข่ายองค์กรของคุณ และทุกตัวสามารถทำงานได้ สถานการณ์นี้เกี่ยวข้องกับการติดตั้งเซิร์ฟเวอร์ใหม่พร้อมการเลื่อนขั้นเพิ่มเติมไปยังตัวควบคุมโดเมน ADDS ใหม่บนไซต์เดียวกัน DC เก่าถูกลบออกจาก AD

เป็นวิธีที่ง่ายที่สุดที่ไม่เกี่ยวข้องกับการเปลี่ยนแปลง AD ที่ไม่สามารถย้อนกลับได้ ในสถานการณ์สมมตินี้ ฐานข้อมูล ntds.dit ไฟล์ GPO และเนื้อหาของโฟลเดอร์ SYSVOL จะถูกจำลองแบบโดยอัตโนมัติไปยังตัวควบคุมโดเมนใหม่จาก DCs ที่ออนไลน์อยู่

หากฐานข้อมูล ADDS มีขนาดเล็กและมี DC อื่นผ่านลิงก์เครือข่ายความเร็วสูง วิธีที่อธิบายข้างต้นจะเร็วกว่าการกู้คืน DC จากสำเนาสำรอง

ประเภทการคืนค่า Active Directory: Authoritative & Non-Authoritative

การคืนค่า Active Directory DC จากข้อมูลสำรองมีอยู่สองประเภทที่คุณต้องเข้าใจอย่างชัดเจนก่อนที่จะพยายามดำเนินการ:

• การคืนค่าที่เชื่อถือได้ — หลังจากที่คุณกู้คืนอ็อบเจ็กต์ AD ของคุณแล้ว การจำลองแบบจะดำเนินการจาก DC ที่คืนค่าไปยังตัวควบคุมโดเมนอื่นๆ ทั้งหมด ประเภทการคืนค่านี้ใช้ในสถานการณ์เมื่อ DC เดียวหรือ DC ทั้งหมดล้มเหลวพร้อมกัน (เช่น หลังจากแรนซัมแวร์หรือไวรัสโจมตี) หรือฐานข้อมูล NTDS.DIT ที่เสียหายถูกจำลองแบบทั่วทั้งโดเมน ในโหมดนี้ ค่า USN (Update Sequence Number) ของอ็อบเจ็กต์ AD ที่กู้คืนทั้งหมดจะเพิ่มขึ้น 100,000 ดังนั้น DCs จะเห็นออบเจกต์ที่กู้คืนทั้งหมดเป็นออบเจกต์ที่ใหม่กว่า และออบเจกต์เหล่านั้นจะถูกจำลองแบบในโดเมน ใช้ Authoritative Restore อย่างระมัดระวัง!!!

  ที่ Authoritative Restore คุณจะสูญเสียการเปลี่ยนแปลง AD ส่วนใหญ่ที่ทำขึ้นหลังจากที่คุณสร้างข้อมูลสำรอง (การเป็นสมาชิกกลุ่ม AD, แอตทริบิวต์ Exchange ฯลฯ)

• การคืนค่าโดยไม่ได้รับอนุญาต — หลังจากที่คุณกู้คืนฐานข้อมูล AD ของคุณแล้ว ตัวควบคุมจะแจ้ง DC อื่นๆ ว่าได้รับการคืนค่าจากข้อมูลสำรองแล้ว และต้องการการเปลี่ยนแปลง AD ล่าสุด (รหัสการเรียกใช้ DSA ใหม่จะถูกสร้างขึ้นสำหรับ DC ). คุณสามารถใช้วิธีการกู้คืนนี้กับไซต์ระยะไกลได้เมื่อการจำลองฐานข้อมูล AD ขนาดใหญ่อย่างรวดเร็วผ่านแชนเนล WAN ที่ช้าทำได้ยาก หรือหากคุณมีข้อมูลหรือแอปที่สำคัญบางอย่างบนเซิร์ฟเวอร์ของคุณ

คืนค่าตัวควบคุมโดเมน Active Directory จากการสำรองข้อมูลสถานะระบบ

สมมติว่าคุณมี DC เพียงแห่งเดียวในโดเมนของคุณ ด้วยเหตุผลบางอย่างที่เซิร์ฟเวอร์ที่ใช้งานจริงทำงานล้มเหลว

คุณมี System State ที่ค่อนข้างใหม่สำหรับตัวควบคุมโดเมนของคุณ และคุณต้องการคืนค่า Active Directory บนเซิร์ฟเวอร์ใหม่โดยใช้ Authoritative Restore

ในการเริ่มการคืนค่า DC คุณต้องติดตั้ง Windows Server เวอร์ชันเดียวกับที่คุณมีใน DC ที่ล้มเหลว ติดตั้งบทบาท ADDS (ไม่ต้องกำหนดค่า) และคุณลักษณะ Windows Server Backup ใน Windows Server ที่คุณเพิ่งติดตั้ง

ในการกู้คืน Active Directory คุณต้องบูตเซิร์ฟเวอร์ใน DSRM (โหมดกู้คืนบริการไดเรกทอรี) โดยเรียกใช้ msconfig และเลือกตัวเลือก Safe Boot -> Active Directory repair ในแท็บ Boot

รีสตาร์ทเซิร์ฟเวอร์ของคุณ มันจะบูตใน DSRM เรียกใช้ Windows Server Backup (

wbadmin

) และเลือก กู้คืน ในเมนูด้านขวา

ในตัวช่วยสร้างการกู้คืน ให้เลือก 'ข้อมูลสำรองที่จัดเก็บไว้ในตำแหน่งที่ตั้งอื่น'

จากนั้นเลือกดิสก์ที่เก็บข้อมูลสำรองของตัวควบคุมโดเมน AD เก่าไว้หรือระบุเส้นทาง UNC

wbadmin get versions -backupTarget:D:

เลือกวันที่ของข้อมูลสำรองที่จะใช้ในการกู้คืน

ตรวจสอบสถานะระบบเพื่อกู้คืน

เลือก ตำแหน่งเดิม และทำเครื่องหมายที่ ดำเนินการกู้คืนไฟล์ Active Directory อย่างเป็นทางการ

ระบบจะแสดงคำเตือนว่าเป็นข้อมูลสำรองของเซิร์ฟเวอร์อื่น และหากกู้คืนในเซิร์ฟเวอร์อื่นอาจไม่ทำงาน คลิกตกลง

ยอมรับคำเตือนอื่นเช่นกัน:

Windows Server Backup
Note: This recovery option will cause replicated content on the local server to re-synchronize after recovery. This may cause potential latency or outage issues.

จากนั้นกระบวนการกู้คืนตัวควบคุมโดเมน AD บนเซิร์ฟเวอร์ใหม่จะเริ่มต้นขึ้น เมื่อเสร็จสิ้น เซิร์ฟเวอร์จะต้องรีบูต (ชื่อของเซิร์ฟเวอร์ใหม่จะเปลี่ยนเป็นชื่อโฮสต์ DC จากข้อมูลสำรอง)

บูตเซิร์ฟเวอร์ในโหมดปกติ (ปิดใช้งาน DSRM โดยใช้ msconfig)

เข้าสู่ระบบเซิร์ฟเวอร์โดยใช้บัญชีที่มีสิทธิ์ของผู้ดูแลระบบโดเมน

เมื่อฉันเรียกใช้คอนโซล Active Directory Users and Computers (ADUC) เป็นครั้งแรก ฉันพบข้อผิดพลาดต่อไปนี้:

Active Directory Domain Services
Naming information cannot be located for the following reason:
The server is not operational.

ไม่มีโฟลเดอร์ SYSVOL และ NETLOGON บนตัวควบคุมโดเมนที่คืนค่า เมื่อต้องการแก้ไขข้อผิดพลาดนี้:

1. เรียกใช้ regedit.exe;

2. ไปที่รีจิสตรีคีย์ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

3. เปลี่ยนค่า SysvolReady จาก 0 เป็น 1

   

4. จากนั้นเริ่มบริการ NetLogon ใหม่:

   net stop netlogon & net start netlogon

   

ลองเปิด ADUC อีกครั้ง คุณจะเห็นโครงสร้างโดเมนของคุณ

คุณจึงกู้คืนตัวควบคุมโดเมน AD ในโหมด การคืนค่าที่เชื่อถือได้ ได้สำเร็จ จากนั้นวัตถุทั้งหมดใน Active Directory จะถูกจำลองแบบโดยอัตโนมัติไปยังตัวควบคุมโดเมนอื่น

หากคุณมี DC ตัวเดียวที่เหลืออยู่ ตรวจสอบให้แน่ใจว่า DC เป็นเจ้าของบทบาท FSMO ทั้ง 5 บทบาทและยึดไว้หากจำเป็น

จะคืนค่า AD Object ที่แยกจากข้อมูลสำรองได้อย่างไร

หากคุณต้องการกู้คืนวัตถุ AD ให้ใช้ ถังรีไซเคิล Active Directory หากอายุการใช้งานของ Tombstone หมดอายุแล้วหรือไม่ได้เปิดใช้งาน Active Directory Recycle Bin คุณสามารถกู้คืนอ็อบเจ็กต์ AD แยกต่างหากได้โดยใช้โหมด Authoritative Restore

โดยสังเขปมีขั้นตอนดังนี้

1. บูต DC ในโหมด DSRM

2. แสดงรายการข้อมูลสำรองที่มีอยู่:

   wbadmin get versions

3. เริ่มการกู้คืนข้อมูลสำรองที่เลือก:

   wbadmin start systemstaterecovery -version:[your_version]

4. ยืนยันการคืนค่า DC (ในโหมดไม่อนุญาต)

5. หลังจากรีสตาร์ทแล้ว ให้เรียกใช้

   ntdsutil

6. activate instance ntds

7. authoritative restore

ระบุพาธ LDAPl เต็มไปยังอ็อบเจ็กต์ที่คุณต้องการกู้คืน คุณสามารถกู้คืน OU ทั้งหมดได้ดังนี้

restore subtree ″OU=Users,DC=a-d,DC=com″

หรือวัตถุ AD เดียว:

restore object “cn=Test,OU=Users,DC=a-d,DC=com”

คำสั่งนี้จะปฏิเสธการจำลองแบบของวัตถุ (พาธ) ที่ระบุจากตัวควบคุมโดเมนอื่น และเพิ่ม USN วัตถุ 100,000

ออกจาก ntdsutil:

quit

บูต DC ในโหมดปกติและตรวจสอบให้แน่ใจว่าวัตถุนั้นได้รับการกู้คืนแล้ว