多域控制器环境下Active Directory灾难恢复

Active Directory 备份与还原在域的环境中，要定期的备份AD数据库，当AD数据库出现问题时，可以通过备份的数据还原AD数据库。

备份文件和文件夹的用户必须具有特定权限和权利的用户才可以，如果是本地组中的管理员或Backup Operator，则只能备份本地计算机上本地组所适用的所有文件和文件夹。

同样，如果是域控制器上的管理员或备份操作员，可以备份本地、域中或具有双向信任关系的域中的所有计算机上的任何文件和文件夹。

活动目录的备份第一步：依次打开命令提示符，输入【Ntbackup】回车第二步：选择【高级模式】，显示备份工具界面，也可以下一步通过向导第四步：选择备份选项卡，选中需要备份的磁盘或者System Status。

选择保存的路径注：如果只想备份活动目录的话，那么只需要备份一下系统状态就可以了。

但在这里建立最好是将整个系统盘做一个完整的备份，以防止丢失一些其他的数据。

第五步：开始备份，在选择备份方式时，需要小心是使用【备份附加到媒体】还是使用【备份替换媒体】单击高级选项卡，这里可以选择你想备份的类型,第六步：单击开始备份数据的备份就完成了下面是任何还原AD数据库的第一步：进入目录服务还原模式。

重新启动计算机，在进入Windows Server 2003 的初始画面前，按F8键进入Window高级选项菜单界面。

通过键盘上的方向键选择【目录服务还原模式】第二步：进入还原向导操作。

运行【ntbackup】选择高级模式，选中要还原的数据第三步：点击【开始还原】完成重定向Active Directory 数据库活动目录的数据库包含了大量的核心信息，应该妥善保护。

为了安全起见，应该将这些文件从被攻击者熟知的默认文件位置转移到其他位置。

如果想进行更深入的保护，可以把AD数据库文件转移到一个有冗余或者镜像的卷，以便磁盘发生错误的时候可以恢复。

第一步：进入【目录服务还原模式】第二步：进入命令提示符：输入ntdsutil输入files输入info 查看目录信息再输入move db to c:\123 回车（选择数据库移动的盘符）完成后在输入move log to c:\123转移完成输入info 查看信息数据库文件已经在c盘符下的123文件夹内修改目录还原密码一般为了安全起见，还原目录数据库时需设置密码保护步骤如下：首先必须进入【目录服务还原模式】进入命令提示符，输入ntdsutil 回车输入set dsrm password 回车之后输入reset password on sesrver 【指域名】回车再输入新的密码，确认密码完成。

Windows2008 中Active Directory 备份和还原构中针对关键任务的组件。

如果active directory 出现故障，网络实际就崩溃了。

因此，active directory 的备份和恢复计划是安全性、业务连续性和法规遵从性的基础。

windows server 2008 为active directory? 带来了许多新功能，其中对备份和恢复计划具有重大影响的两个功能是：新的windows server backup 实用工具，以及获取和使用active directory 的“卷影复制服务”快照的能力。

在本文中，我将介绍这些增强功能所带来的变化，以及如何利用这些变化来简化active directory 备份活动。

ntbackup 与windows server backup组策略设置windows server backup 提供了若干组策略设置，使您可以在一定程度上控制备份在您服务器上的工作方式。

使用这些备份策略，人们通过未经授权的备份访问未授权数据的风险会降低。

选项包括：仅允许系统备份如果设置了此选项，则windows server backup 只能备份关键的系统卷。

它无法执行卷备份。

不允许本地附加的存储作为备份目标如启用此设置，它不允许备份至本地附加的驱动器。

只能备份至网络共享。

不允许网络作为备份目标此设置不允许备份至任何网络共享。

不允许光学媒体作为备份目标如设置了此选项，windows server backup 无法备份至任何光学媒体，例如可记录的dvd 驱动器。

不允许一次性运行备份此设置不允许windows server backup 运行非计划的特定备份。

仅通过windows server backup mmc 管理单元计划的备份可以运行。

您所了解和喜爱的ntbackup 自windows nt? 3.5 之后已消失。

代替它的是window s server backup 。

概览:∙复制和对象链接结构∙使用 NTDSUTIL 备份和还原∙权威还原和非权威还原Active Directory 是 Windows 网络中最为关键的服务之一。

为了避免出现停机时间和损失生产力，对与 Active Directory 有关的问题制订有效的灾难恢复计划是至关重要的。

这一点听起来容易，但令人吃惊的是，有很多管理员甚至没有为最常见的一个 Active Directory®故障方案 - 意外删除数据 - 制定计划。

意外删除对象是服务失败最常见的根本原因之一。

当我参加研讨会和会议时，我常常询问有谁曾经因为意外删除数据而导致 Active Directory 失败。

而每次几乎所有人都举手。

要理解为何数据恢复是如此复杂，必须先理解以下内容：Active Directory 如何恢复和复制对象、如何删除对象以及权威还原和非权威还原的结构。

存储对象Active Directory 是一个实施 X.500/LDAP 数据模型的专门的对象数据库。

数据存储（称为目录信息树或 DIT）基于可扩展存储引擎 (ESE)，这是一个索引顺序访问方法 (ISAM) 数据库引擎。

从概念上说，Active Directory 将 DIT 存储在两张表中：数据表（包含实际的 Active Directory 对象和属性）和链接表（包含对象之间的关系）。

每个 Active Directory 对象存储在数据表中单独的一行，每个属性一列。

数据表包含存储在域控制器 (DC) 上的所有副本的所有条目。

在一个常规 DC 上，数据表包含来自域 NC（命名上下文）、配置 NC 和架构 NC 的条目。

在全局编录上，数据表包含林中每个对象的条目。

Active Directory 使用可分辨名称标记 (DNT)（一个 32 位的整数）来唯一标识数据表中的每一行。

用于内部引用对象的 DNT 比其他标识符如可分辨名称 (DN) 和 objectGUID（一个 16 字节的二进制结构）都小得多。

ActiveDirectory密码恢复：徒劳的行为遗忘密码是生活一大不幸的事，但密码重置不是。

虽然不可能恢复遗忘或到期的Active Directory密码，但可以重置（且无需依赖帮助台技术员）。

即允许您的用户用ADSelfService Plus重置自己的密码。

Active Directory一、ADSelfService Plus为您提供支持ADSelfService Plus允许最终用户在AD中安全地重置自己的密码，解锁自己的帐户，并更新自己的个人资料，而无需帮助台技术员出手。

只要部署ADSelfService Plus GINA/CP登录代理，所有用户要做的就是在Windows或Mac登录界面上点击重置密码/解锁帐户。

您可以在ADSelfService Plus web页面向目标计算机部署登录代理。

ADSelfService Plus二、让到期的密码成为过去。

用ADSelfService Plus的密码和帐户到期通知可以最大限度的减少密码到期事件。

ADSelfService Plus将自动搜索您的AD并查看密码即将到期的用户，并向他们发送分步提醒通知其更改密码，这些可通过ADSelfService Plus的web页面进行设置。

密码到期三、自动完成密码重置通常，一些用户尽管收到多次通知，但未及时更改密码，最后发现自己帐户被锁定，无法登录自己的系统。

用ADSelfService Plus的自动密码重置/解锁帐户功能，这样既节省帮助台技术员时间，也解决您的后顾之忧。

它可以将任何到期的密码重置为管理员设定的默认值，自动解锁任何锁定的帐户。

密码重置四、将黑客拒之门外ADSelfService Plus使用多重身份验证来保护密码自助服务的安全。

用户在通过以下一种身份验证选项确定其身份后，才能重置他们的密码或解锁其帐户：•安全问题和答案•短信或电子邮件验证•Google Authenticator密码安全五、一些优点密码自助服务: 允许最终用户在Active Directory中重置其域密码，或解锁自己的AD帐户，无需管理员或IT帮助台技术员出手。

Active Directory 快速恢复动手实验<divstyle="mso-element:para-border-div;border-top:solid windowtext 2.25pt;border-left:none;border-bottom:solid windowtext1.0pt;border-right:none;mso-border-top-alt:solid windowtext2.25pt;mso-border-bottom-alt:solid windowtext .75pt; padding:1.0pt 0cm 1.0pt0cm;margin-left:35.9pt;margin-right:19.2pt"><h1 align="center"style="margin-top:17.0pt;margin-right:0cm;margin-bottom: 16.5pt;margin-left:0cm;mso-para-margin-top:17.0pt;mso-para-ma rgin-right:1.83gd;mso-para-margin-bottom:16.5pt;mso-para-margin-left:3.42 gd;text-align:center;border:none;mso-border-top-alt:solid windowtext2.25pt;mso-border-bottom-alt:solid windowtext .75pt;padding:0cm;mso-padding-alt:1.0pt 0cm 1.0pt 0cm">Active Directory<h1 align="center"style="margin-top:17.0pt;margin-right:0cm;margin-bottom: 16.5pt;margin-left:0cm;mso-para-margin-top:17.0pt;mso-para-ma rgin-right:1.83gd;mso-para-margin-bottom:16.5pt;mso-para-margin-left:3.42 gd;text-align:center;border:none;mso-border-top-alt:solid windowtext2.25pt;mso-border-bottom-alt:solid windowtext .75pt;padding:0cm;mso-padding-alt:1.0pt 0cm 1.0pt 0cm">实验手册1. 实验目的通过动手操作，深入了解ActiveDirectory 的结构与原理，了解Active DirectoryActive Directory 故障排除的工具与方法。

灾难恢复方法一.目的本文对域控制器的灾难恢复提供指导二．摘要本文讲述了多域控制器环境下由于硬件故障突然损坏，而事先又没有做好备份，如何使额外域控制器接替它的功能工作使Active Directory正常运行，并在硬件故障排除后使损坏的主域控制器恢复三．目录Active Directory操作主机角色概述环境分析从AD中清除主域控制器 对象在额外域控制器上通过ntdsutil.exe工具执行夺取五种ＦＭＳＯ操作设置额外域控制器为ＧＣ（全局编录）重新安装并恢复损坏主域控制器附:用于检测AD中五种操作主机角色的脚本四．正文1. Active Directory操作主机角色概述Active Directory 定义了五种操作主机角色（又称ＦＳＭＯ）：架构主机 schema master、域命名主机 domain naming master相对标识号 (RID) 主机 RID master主域控制器模拟器 (PDCE)基础结构主机 infrastructure master而每种操作主机角色负担不同的工作，具有不同的功能：架构主机具有架构主机角色的 DC 是可以更新目录架构的唯一 DC。

这些架构更新会从架构主机复制到目录林中的所有其它域控制器中。

架构主机是基于目录林的，整个目录林中只有一个架构主机。

域命名主机具有域命名主机角色的 DC 是可以执行以下任务的唯一 DC：向目录林中添加新域。

从目录林中删除现有的域。

添加或删除描述外部目录的交叉引用对象。

相对标识号 (RID) 主机此操作主机负责向其它 DC 分配 RID 池。

只有一个服务器执行此任务。

在创建安全主体（例如用户、组或计算机）时，需要将 RID 与域范围内的标识符相结合，以创建唯一的安全标识符 (SID)。

每一个Windows 2000 DC 都会收到用于创建对象的 RID 池（默认为 512）。

RID 主机通过分配不同的池来确保这些 ID 在每一个 DC 上都是唯一的。

核心提示：项目环境：1.1. 西安凌云系统高科技有限公司组建了一个单域；域名为“ange ”。

公司有两个DC分别来负责公司的运营，其中一个是备份的DC，那么我们如何在不同的DC上来实现林之间的转换和域于域之间的转换呢？1.2. 西安...项目环境：1.1. 西安凌云系统高科技有限公司组建了一个单域；域名为“”。

公司有两个DC分别来负责公司的运营，其中一个是备份的DC，那么我们如何在不同的DC上来实现林之间的转换和域于域之间的转换呢？1.2. 西安领域系统高科技有限公司组建了一个单域网络，有一天网络管理员不小心把两个OU删除了，但是相对了一个OU很重要，管理员怎么样才能把公司的OU恢复呢？项目标准：一、理解操作主机的概念；二、理解授权还原和非授权还原的概念；三、掌握基本操作主机的配置；四、掌握授权还原和非授权还原的配置；项目步骤：一、理解操作主机的概念；1.1.0. 我们都了解知道可以在一个域中可以添加多个子域也可以添加辅助域控制器，这样就可以实现我们在一个域中有多个域控制器，当然这些域控制器是对等的。

所以我们为了保证活动目录数据库的一致性需要来执行操作。

虽然一般的复制是多主机复制，但某些是更改不了适合多个主机复制执行。

正是在这种情况下我们来引出了操作主机的概念；通过操作主机来更改一些达不到的东西。

既然我们现在知道了“操作主机”是干什么的。

那么在活动目录中，操作主机有几种角色呢？1.2.0. 操作主机的角色有五种角色，但是我们可以分为“林范围内的操作主机”和“域范围内的操作主机”。

他们分别有什么分别有什么功能呢？在林范围的操作主机有“架构主机”和“域命名主机”；在域范围内的操作主机有：“PDC仿真主机”、“RID主机”、“基础架构主机”；在实验的步骤中我们来具体的了解各个操作主机的功能。

二、理解授权还原和非授权还原的基本概念；2.1.0. 作为一个合格的网络管理员我们知道想维护好相同的活动目录数据库，实现网络的可靠性，那么我们就需要我们定期的备份和还原数据库，因为在操作活动目录时，管理员有可能因为不小心进行了一些无意的操作，像不小心删除了某个OU或者一些机密性的文件夹，而要想还原自己不小心删除的文件或者是一些机密性文件，那么作为管理员备份时不可缺少的；而通过备份的文件那么我们就可以轻而易举的找回来我们因为不小心删掉的文件了；但是在还原中我们会牵扯到连个概念；“授权还原”和“非授权还原”；2.2.0. 非授权还原：可以恢复活动目录到它备份的状态。

多域控制器环境下ActiveDirectory灾难恢复邮件服务器灾难恢复体系方案一灾难情况:主域控制器由于硬件故障突然损坏，使额外域控制器接替它的工作，使Active Directory正常运行，并在硬件修理好之后，恢复主域控制器，恢复exchange数据库。

备份情况:1:系统状态备份 2:exchange数据(MICROSOFT INFORMATION STORE)总体思路:1( 恢复域控制器 (a:清除原DC信息 b: 额外域控制器上通过ntdsutil.exe工具夺取五种,,,,c:设置额外控制为GC全局编录 d:重新安装损坏的域控制器)2( 恢复exchange(a:安装exchange b:恢复exchange数据库)详细步骤:1(恢复域控制器a:清除原有Domain Controller的信息因为这台服务器已经不再可用，我们必须重新安装，所以需要将原来的服务器的数据从ACTIVE DIRECTORY中删除。

完成这个目标，需要使用ntdsutil这个工具。

(粗体为输入内容，因测试时与公司服务器域名及机器名不一同，请按提示输入)c:\>ntdsutilntdsutil: metadata cleanupmetadata cleanup: select operation targetselect operation target: connectionsserver connections: connect to domain select operation target: list sitesFound 1 site(s)0 - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=domain,DC=com select operation target: select site 0Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=domain,DC=com No current domain No current serverNo current Naming Contextselect operation target: list domains in siteFound 1 domain(s)0 - DC=domain,DC=comselect operation target: select domain 0Site - CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=domain,DC=com Domain -DC=domain,DC=comNo current serverNo current Naming Contextselect operation target: list servers for domain in siteFound 2 server(s)0 - CN=DC1,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=domain,DC=com1 - CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration, DC=domain,DC=comselect operation target: select server 0select operation target: quitmetadata cleanup: remove selected server出现对话框，询问你是否确定删除该DC。