灾难恢复

 一、什么是活动目录？ 

         ad是一种事务性数据库，他是一种预先写入记录的模式，使用了ese97的技术。在磁盘上，ad显示为几个文件，他们是ntds.dit（ad数据库），一组交易记录（即日志）和记录数据库最后一个缓冲区的检查点文件。更有一个暂时性的数据库文件。目录服务是个组合名词，他包括有目录数据存储和可让用户或程式存取信息的相关服务的意思。为社呢们要有目录呢？目录可提供企业网络所有重要数据的一个集中存放区域，这些数据包括用户帐户、计算机、打印机、应用程式、安全性和系统原则等各种资源。将大部分的重要的资源集中的放在某个共享的网络资源中，这样一来能改善企业的效率和大幅减少网络的总拥有成本（tco）。win 2k的目录服务使用的是多控制器模式，也就是说，能在任意的一个控制器上修改目录资源。所以，从上我们能得知，ad实际是个数据库，而每个dc都是重要的数据库服务器，所以，我们应象保护重要数据库相同来保护dc。 
   二、活动目录的几个概念 
   1、域：一个安全边界。 
   2、树：多个域的集合。 
   3、林：多个有关联的树。 
   4、dns：通向ad的网关。dns中的服务记录，是应用系统查询ad的根本所在。 
   5、gc：一个经常被查询的ad对象的索引。在本机模式下，gc参和网络客户端的登录请求处理，提供通用组成员资格，出非域管理员组成员，才能不必gc的协助登录网络。在混合模式下，gc就不参和登录处理了但gc对网络中进行目录查询和搜寻仍旧非常重要。 
   6、操作主机：虽然多控制器模式是ad的核心功能，但多服务器之间的潜在冲突也使这样的方式运作出在一定的不适用性，为了解决这一问题，ad选择了一些特别的机器来担任特别的角色。每个角色负责处理特定ad区域的改动。 
    三、ad的维护和备份 
   1、ad的维护：通过性能监视工具监视ad的运行状态和组件状态，能有效的发现ad故障并及时解决。 
   2、ad的备份：ad能通过备份系统状态来备份，你能在系统工具里找到备份工具来完成此工作，也能使用第三方软件来实现。但要注意备份ad的一些约束条件： 
    * ad只备份当前有效的数据，对于已标记删除的对象，不备份。而ad中的对象删除并不是即时的，需要有60天的删除标记时间。因此，应避免恢复60天前的ad备份，以免导致ad不完整。 
    * ad的备份类型无法选择，只能使用完全备份。 
    * 要确保备份中同时包含系统状态、系统盘的文件及sysvol目录的内容。 
    * 你只能用原服务器的备份来恢复该服务器，不能用另一台服务器的备份恢复该服务器。 
   3、ad的整理：ad系统默认每12小时会运行自动在线整理一次。不过在线整理不能减少数据库的大小，要减少数据库的大小，需要使用离线整理，其操作为： 
     在dc启动的时候，按f8进入启动菜单，选择“目录恢复模式：进入系统，在命令行下输入如下命令。 
         ntdsutil 
         files 
         info 
         注意此时输出的目录文件路径！ 
     comnpact to c:＼mydir 
         通过这个命令将在指定目录下的建立一个压缩后的数据库文件。 
     quit两次，退出工具。 
     接下来，你需要用压缩后的文件替换原始的文件。并重新启动计算机 
   四、ad的架构 
    ad的架构是以结构化的方式定义的数据组成，他通过描述元数据来定义这些结构，通常包括属性名称、类型、长度、关系等。看起来，有点象关系数据库里的字段定义。同时还包括一些扩展的属性。包括： 
1、命名上下文：有三个，他们是域命名上下文（保存当前ad域的数据），设置命名上下文（保存主要基础对象和设置信息），架构命名上下文（保存定义了所有的ad对象和属性）。 
2、类别：描述了ad对象及和之相关的特性和属性。 
   ad架构的管理：架构管理由架构主机角色控制，默认情况下看不到该管理单元，需要先注册.schmmgmt.dll，才能在mmc里找到他。注册方法是运行：regsvr32 %systemroot%＼system32＼schmmgmt.dll。架构内容是禁止删除的。 
五、ad的修理和恢复 
1、ad的维护和修复，都是通过一个命令行工具--ntdsutil来实现的。修复命令为： 
ntdsutil 
repair 
2、ad的恢复 
恢复模式：ad有两种恢复模式--授权恢复和非授权恢复，其差别在于： 
1）授权恢复：当其他的域控制器包含了无效的复制和数据时，能采用授权恢复方式，这种情况下，你能手工指定你要恢复整个数据库或某个分支，并指定本地的恢复操作是权威的。所谓的权威，就是当发生目录复制时，以本地数据为准。授权恢复要修改ad的升级序号，这样他的序号就高于其他的dc了，从而使本地的恢复数据能复制给其他的dc。 
2）非授权恢复：大多数的恢复操作都是非授权的。当你发现一台dc的数据有问题，而确信其他的dc数据是正常的，就能使用非授权恢复。恢复完成后，dc会重新比较升级序号并参和正常的复制。也就是说，通过非授权恢复的数据可能在复制中被再次改写。 
注意点： 
如果你没有达到以下需求，恢复操作必定失败 
* 服务器名趁应和备份时相同 
* 系统目录所在驱动器应和备份时相同 
* 目录保存路径应和备份时相同 
3、恢复的操作 
1）非授权恢复：启动dc，进入”目录恢复模式“，执行备份的还原操作。 
2）授权恢复：在执行完非授权恢复后，继续以下操作： 
* ntdsutil 
     authoritative restore 
     restore database 
该命令将授权还原整个数据库，如果只想还原某个分支，能用： 
   restore subtree ou=eng,dc=mycompany,dc=com 
系统提示是否正确，回答yes。 
   quit退出。 
注意：在恢复完成后，系统会自动的提示是否需要重新启动服务器，授权恢复一定要选择”no“，否则一旦服务器重新启动，本次授权恢复就会变成非授权恢复了。另外，需要注意的是，授权恢复一同还原了sysvol文件目录，当计算机帐户没有禁用时，系统会每7天查询确认一次计算机密码，授权恢复同样也还原了这一信任密码，有可能会导致计算机信任关系丢失，这也需要注意。 
4、ad的灾难性恢复处理 
1）重新安装恢复ad 
还原ad的最简单方法是重新安装操作系统，重新提升dc。这样就产生了一个新的dc，但要考虑一个问题，如果原dc的数据已损坏，我们将无法使用dcpromo命令删除该dc上的ad数据，这样就可能导致ad数据的不同步性，而且更糟糕的是，在ad用户和计算机的管理单元里，你也不能删除dc对象。这是你只能从”ad站点和服务“里先删除该服务器，才能删除该dc。如果你不幸的需要新的dc和原来的dc相同的名字，那么你必须先使用ntdsutil命令删除ad里的对象信息后，才能建立新的dc。具体操作如下： 
ntdsutil 
metadata cleanup 
connections 
connect to server <good dc> 
quit 
select operation target 
list site 
select site <id> 
list domains 
select domain <id> 
list servers in site 
select server <bad   dc> 
remove selected server 
以上命令，就能删除坏掉的dc信息。更周详的资料，请参考ntdsutil的帮助，执行ntdsutil ？即可阅读帮助信息。 
注意：在删除原dc之前，应确认原dc上不包含所有角色，如果有，请使用ntdsutil命令夺取角色，方法如下： 
ntdsutil 
roles 
seize domain naming master     - 在已连接的服务器上改写域角色 
seize infrastructure master    - 在已连接的服务器上改写结构角色 
seize pdc                      - 在已连接的服务器上改写 pdc 角色 
seize rid master               - 在已连接的服务器上改写 rid 角色 
seize schema master            - 在已连接的服务器上改写架构角色 
被夺取角色的dc在没有重新安装操作系统前，不能重新连入网络！！ 
2）从备份中还原ad 
从备份文件恢复ad是非常适合的。但要注意使用的还原模式，如果因恢复错误操作的信息，应记得使用授权恢复模式。 
注意点： 
* 过期的备份：前面我们提到，ad的备份不能还原60天前的数据，如果你需要还原60天的备份，需要按kb216993需求修改全局标记时间后才能还原。其的位置在ad里的 
cn=directory service,cn=windows nt,cn=services,cn=configuration,dc=company,dc=com，名称为：tombstonelifetime，该操作需要直接编辑ad数据，可使用adsi，ldp等工具。 
注意：请慎重操作！ 
* 不同硬件下还原：通常情况，不建议你将ad的备份还原到不同的硬件上，除非你确认新机器和原机器的硬件基本一直，并使用同样的硬件抽象层文件（hal）。 
* 远程备份和还原：在boot.ini文件后，能加上/safeboot:dsrepair命令选项，引导远程机器进入恢复模式。 
5、结语 
本文简单的描述了活动目录的整体概念和基本理论，并重点阐述了ad的备份和恢复技巧和操作，及灾难性的恢复手段。 

附录：ntdsutil的帮助 
ntdsutil: ? 

?                              - 打印这个帮助信息 
authoritative restore          - 权威性的恢复 dit 数据库 
domain management              - 准备新域创建 
files                          - 管理 ntds 数据库文件 
help                           - 打印这个帮助信息 
ipdeny list                    - 管理 ldap ip 否认列表 
ldap policies                  - 管理 ldap 协议策略 
metadata cleanup               - 清理不使用的服务器的对象 
popups %s                      - 用“on”或“off”启用或禁用弹出 
quit                           - 退出实用程式 
roles                          - 管理 ntds 角色所有者令牌 
security account management    - 管理安全帐户数据库 - 复制 sid 清理 
semantic database analysis     - 语法检查器

 

 

1）重启DC，进入【目录服务还原模式】
2）使用备份工具恢复活动目录到原始位置
3）打开命令提示符，键入ntdsutil
4）键入“authoritative restore” 
5）restore subtree “ou=学术部,dc=benet,dc=com,dc=cn” 
6）退出ntdsutil，重启DC

 

 

摘自  http://hi.baidu.com/%B6%AB%D4%C0love%CD%F8%C2%E7/blog/item/36b711103d1506c4c2fd78fa.html