Active Directory灾难恢复手册.docx
《Active Directory灾难恢复手册.docx》由会员分享,可在线阅读,更多相关《Active Directory灾难恢复手册.docx(19页珍藏版)》请在冰豆网上搜索。
![Active Directory灾难恢复手册.docx](https://file1.bdocx.com/fileroot1/2023-5/17/3c476026-a2f1-4061-b250-7bfdb1957826/3c476026-a2f1-4061-b250-7bfdb19578261.gif)
ActiveDirectory灾难恢复手册
ActiveDirectory灾难恢复手册
文档适用范围:
办公网ActiveDirectory
业务网SNA/HIS服务器所依赖的ActiveDirectory
适用操作系统:
WindowsServer2003
Windows2000Server
本文档讨论:
如何避免ActiveDirectory故障
如何对ActiveDirectory进行备份
错误修改/删除ActiveDirectory数据的应对措施
一台或全部域控制器崩溃的应对措施
本文档未涉及:
ActiveDirectory故障诊断和排除
1 避免ActiveDirectory故障
遵照下列原则,以避免ActiveDirectory出现故障:
硬件
(1) 不随意关闭域控制器,确保任何时刻域内至少有2台域控制器运行;
(2) 操作系统和NTDS数据库文件所在硬盘配置使用硬件容错(RAID1/RAID5等);
(3) 定期检查服务器电源、硬盘状态,及时更换故障硬件。
网络
(4) 分公司办公网域控制器需要确保同根域控制器网络畅通,所需通信端口开放;
(5) 确保客户机和域控制器之间网络畅通,所需通信端口开放;
(6) 不要在域控制器上安装或启用防火墙、TCP/IP过滤器、IPSec策略等;
(7) 调整网络配置前首先确认是否会对域控制器造成影响。
备份
(8) 所有域控制器至少每周备份系统状态一次,建议使用计划任务做到每天备份,备份数据要尽量存放在生成备份的服务器之外;
(9) 进行批量删除用户和OU等影响较大的操作前,首先进行备份;
日常管理
(10)对域控制器进行的配置变更操作要进行记录;
(11)及时升级防病毒程序,安装安全补丁;
(12)定期检查所有域控制器的日志,对错误和警告信息进行诊断和排除;
(13)对用户报告的和ActiveDirectory相关的异常信息及时跟进,定位问题原因。
2 备份ActiveDirectory数据库
2.1手动备份ActiveDirectory数据库
通过备份工具对“系统状态”进行备份(包含ActiveDirectory数据库、注册表、系统文件等),以建立可供灾难恢复使用的数据副本。
每次对AD进行大的修改前后要及时备份,应对所有的域控制器分别进行备份,备份数据要尽量存放在生成备份的服务器之外。
手动备份ActiveDirectory数据库的操作如下:
(1) 以域管理员或备份操作员帐户登录到域控制器;
(2) 从“开始”,“运行”启动“Ntbackup.exe”;
(3) 如果以“向导模式”启动,切换到“高级模式”;
(4) 在“备份”标签下,备份“系统状态”到适当的位置;
(5) 点击“开始备份”;
(6) 在备份完成后点击“报告”确认备份正确完成,然后关闭“备份工具。
2.2建立定时备份的计划任务
建议使用附件脚本SysBackup.vbs在所有域控制器上建立定时任务,以自动备份系统状态,该脚本同时能够设定备份文件保存的时间,以节省磁盘空间。
该脚本见博客另一文章:
使用该脚本建立定时备份任务的操作方法:
(1) 以域管理员帐户登录到域控制器;
(2) 拷贝SysBackup.vbs到某个目录下(如D:
\SysBackup),并根据需要修改以下参数:
strFolder="D:
\SysBackup\" '备份文件保存的位置
strFileName=Date()&".BAK" '备份文件名格式(备份日期.BAK)
intKeepDays=14 '备份文件保存的时间(14天)
(3) 从“控制面板”-“计划任务”启动“添加任务计划”向导;
(4) 在“运行的应用程序”页面点击“浏览”,在“文件名”中输入“%systemroot%\system32\wscript.exe”,然后点击“打开”;
(5) 输入任务名称,如“定时备份系统状态”,根据需要配置运行时间,如“每天”;
(6) 将起始时间设置为服务器空闲的时间,如1:
00AM;
(7) 在用户名和密码中输入服务器Administrators组或者BackupOperators组用户的账户和密码,完成新建任务向导;
(8) 从“控制面板”-“计划任务”中右击以上建立的任务,选择“属性”;
在“任务”页面中,修改“运行”为(假设脚本位于D:
\SysBakcup目录):
%systemroot%\system32\wscript.exe"D:
\SysBackup\SysBackup.vbs"
(9) 可能需要再次输入第7步的用户名和密码,然后保存退出任务属性。
建议对所有域控制器均设置此备份任务。
备份成功与否,可以从应用程序事件日志查看。
可以将“备份文件保存位置”设置为共享文件夹,或者在备份完成后手动拷贝到其他服务器,以避免备份产生服务器磁盘故障导致备份不可用。
3 恢复ActiveDirectory对象
3.1恢复误删除的加入域的计算机帐户
如果由于误操作,从“ActiveDirectory用户和计算机”管理工具中,错误删除了某台域控制器的计算机帐户,需要彻底清除该域控制器在ActiveDirectory中的残留信息,并重新安装请参考“域控制器灾难恢复”部分
如果误删除了少量成员服务器或者客户端计算机,立即在被删除账户的计算机的“控制面板”-“系统”-“计算机名”页面下,从域中修改到工作组中(组名任意),重新启动计算机后再次在“计算机名”页面中修改到域中(不要做任何网络设置变更,不要再次运行加入域的脚本)。
用户配置文件等不会受到任何影响。
如果误删除的是大量计算机账户,需要从备份中恢复,请参考后续章节。
3.2恢复误删除的用户、组和OU
如果误删除的是少量对象,可以采取重新建立的方法,但需注意新建的用户、组账户的SID与原有的不同,所有授予原有账户的权限需要重新进行授权。
如果无法确定原有的授权,或者工作量很大,需要从备份中恢复,请参考后续章节。
当误删除了大量ActiveDirectory对象时,需要及时从备份中恢复,请参考后续章节。
3.3恢复备份中所有的ActiveDirectory对象
如果备份中包含了所有希望保留的对象,可以恢复整个ActiveDirectory数据库。
从备份恢复所有ActiveDirectory对象的操作如下:
(1) 确定可用的DC系统状态备份,遵循以下原则:
a) 使用包含所需对象的最近备份
b) 尽量从第一台域控制器进行恢复
c) 对于计算机账户,超过15天的备份不可使用
d) 对于任何备份,超过60天的不可使用
(2) 在恢复前备份所有DC的系统状态,以免恢复失败;
(3) 建议从PDCEmulator所在域控制进行恢复操作(通常是第一台DC),将恢复操作需要使用的备份文件拷贝到该服务器本地磁盘;
(4) 重新启动该服务器,启动时按F8键,选择“目录服务还原模式”,使用安装ActiveDirectory前的默认Administrator账户和安装过程中设置的“还原模式”密码登录;
(5) 使用NTBackup.exe工具和第3步准备好的备份文件,恢复系统状态;
(6) 在命令提示符下启动NTDSUTIL.EXE;
(7) 输入authoritativerestore,然后回车;
(8) 输入restoredatabase,回车;
(9) 出现确认对话框时,点击“确定”,然后点击“是”;
(10)输入quit并回车,直到退出NTDSUTIL.EXE;
(11)重新启动域控制器,检查恢复是否成功。
3.4恢复备份中的部分ActiveDirectory对象
很多情况下只需恢复备份中包含的部分ActiveDirectory对象(如删除了100个对象,仅希望恢复其中的5个),需要进行以下操作:
(1) 仅在同一域内至少两台域控制器可用的情况下才能进行后续操作;
(2) 确定包含需恢复对象的备份,遵守3.3小节第1条的原则
(3) 确定需要恢复的对象的DN,如
cn=User01,ou=test,dc=yunwei,dc=cc,dc=cmb
或者
ou=test,dc=yunwei,dc=cc,dc=cmb
(4) 建议从PDCEmulator所在域控制进行恢复操作(通常是第一台DC),将恢复操作需要使用的备份文件拷贝到该服务器本地磁盘;
(5) 重新启动该服务器,启动时按F8键,选择“目录服务还原模式”,使用安装ActiveDirectory前的默认Administrator账户和安装过程中设置的“还原模式”密码登录;
(6) 使用NTBackup.exe工具和第4步准备好的的备份文件,恢复系统状态;
(7) 在命令行提示符下启动NTDSUTIL.EXE;
(8) 输入authoritativerestore,然后回车;
(9) 如果需要恢复单个对象,输入以下内容并回车(根据需要替换DN,注意引号):
restoreobject“cn=User01,ou=test,dc=yunwei,dc=cc,dc=cmb”
(10)如果需要恢复OU,输入以下内容并回车(根据需要替换DN,注意引号):
restoresubtree“ou=test,dc=yunwei,dc=cc,dc=cmb”
(11)输入quit并回车,直到退出NTDSUTIL.EXE;
(12)重新启动域控制器,检查恢复是否成功。
4 域控制灾难恢复
4.1所有域控制崩溃
当所有域控制器崩溃,但有备份可用时,按照以下步骤操作:
(增加RIDMaster部分,需测试
(1) 立即通知相关部门和用户,并针对可能出现的影响采取应对措施:
i. 对于办公网,用户可以继续使用缓存验证信息登录,但部分计算机可能提示“无法登录到域”,用户无法修改口令,基于域用户或者组授权的网络资源可能无法访问;
ii. 对于业务网SNA/HIS所在的域,由于所有的SNA/HIS服务器都是域控制器,最主要的影响是SNA通信中断。
(2) 确定包含需恢复对象的备份,遵守3.3小节第1条的原则,但超过15天和60天的备份需要注意:
i. 如果备份超过15天,需要将本域内启动时提示“无法登录域”的计算机按照3.1小节第二部分重新加入域;
ii. 如果办公网备份超过60天,需要与根域管理员联系,业务网SNA/HIS所在域由于是独立森林的顶级域,无此问题。
(3) 修复硬件故障,或使用相同硬件服务器;
(4) 重新安装与原来相同的操作系统,文件系统、安装驱动器、Windows安装文件夹名称、网络配置等必须与备份生成服务器相同,并安装DNS服务;
(5) 按照3.3小节从备份中恢复ActiveDirectory数据库;
(6) 重新启动服务器,确认ActiveDirectory是否启动;
(7) 在恢复一台域控制器的基础上,按照4.2小节恢复其他域控制器。
当所有域控制器崩溃,同时没有可用备份时,无法恢复。
4.2某台域控制器崩溃
ActiveDirectory采用“多主复制”的结构,不再有主/备域控制器的区分,任何一台DC都可以接受更新,提供验证,从而提高了灾难抵抗能力。
但不同的域控制器仍然承担不同的功能,当某台DC崩溃(指除非重装不能修复故障)时,必须遵循一定的步骤,才能确保AD继续正常工作。
以下讨论当某台DC完全崩溃时的应对措施。
4.2.1准备工作
如果崩溃的是分公司办公网第一台DC,请及时通知总部根域管理员,以变更复制连接。
业务网SNA/HIS所在域由于是独立森林的顶级域,无此要求。
确认崩溃的DC是否还有可能修复,短时间的故障不会造成重大影响,只有确认该DC不可能恢复时才进行后续操作。
在48小时以内,只要至少有1台DC正常工作,用户不会受到太大影响,但可能出现登录速度变慢、无法修改口令、事件日志中出现“找不到域控制器”的信息等。
一旦决定采用后续方法进行恢复,原有服务器必须立即断开网络连接,修复硬件故障,并重新安装操作系统后才能再次提升为域控制器。
修改其它域控制器的DNS服务器地址,不再将崩溃DC作为首选DNS服务器。
不必修改客户端的DNS服务器地址,但应该知道可能会出现用户计算机启动速度变慢的问题。
4.2.2转移操作主机角色
办公网:
如果崩溃的是第一台DC,需要强制转移其承担的操作主机角色(包括PDC和RID)到第二台DC。
如果崩溃的是第二台DC,需要将其承担的“结构”操作主机角色转移到第一台DC。
除此之外DC崩溃不需要转移操作主机角色。
业务网:
如果崩溃的是第一台DC,需要强制转移其承担的操作主机角色(包括Schema、“域命名”、PDC和RID)到第二台DC。
如果崩溃的是第二台DC,需要将其承担的“结构”操作主机角色转移到第一台DC。
除此之外DC崩溃不需要转移操作主机角色。
由于原来承担操作主机角色的DC已经崩溃,所以只能通过强制转移,即“夺取”的方法转移操作主机角色
强制转移操作主机角色的方法
(1) 登录到要继任操作主机角色的域控制器,办公网需要域管理员权限,业务网SNA/HIS所在的ActiveDirectory需要企业管理员权限;
(2) 在命令提示符下启动NTDSUTIL.EXE;
(3) 输入roles,然后回车;
(4) 输入connections,然后回车;
(5) 输入connecttoserverServerName,然后回车,其中ServerName是继任操作主机角色的的域控制器的名称;
(6) 在“serverconnections”提示符处,输入q,然后回车;
(7) 输入seizeRole,其中Role是要强制转移的角色名称,如seizePDC。
要查看可占用角色的列表,输入?
然后回车;
(8) 确认强制转移成功,输入quit并回车,直到退出NTDSUTIL.EXE。
4.2.3转移全局编录服务器
办公网:
如果崩溃的是办公网第一台DC,需要取消崩溃DC的“全局编录”选项,并将第二台DC开启“全局编录”选项。
业务网:
业务网SNA/HIS所在域由于所有DC均为全局编录服务器,所以只需取消崩溃DC的“全局编录”选项即可。
转移全局编录服务器的方法
(1) 使用域管理员帐户登录正常的DC;
(2) 打开“ActiveDirectory站点和服务”工具,展开相应的站点,办公网是分行名称,业务网是“默认首站名”或者“Default-First-Site-Name”;
(3) 在相应的DC的“NTDSSettings”属性中,清除崩溃DC的“全局编录”选项,选中继任DC“全局编录”选项;
(4) 在所有仍然正常的DC的“NTDSSettings”下的复制连接上,右击并选择“立即复制”;
(5) 关闭“ActiveDirectory站点和服务”工具。
4.2.4从ActiveDirectory中清除崩溃DC的信息
接下来需要从ActiveDirectory据库中清除崩溃DC的信息,操作方法:
(1) 使用域管理员帐户登录正常的DC;
(2) 在命令提示符下启动NTDSUTIL.EXE(以下双引号中的命令输入后需要回车);
(3) 顺序输入“Metadatacleanup”—“Connections”—“ConnecttoServerServerName”,ServerName是正常DC的名称;
(4) 使用“Quit”退回到“Metadatacleanup”上下文;
(5) 顺序输入“Selectoperationtarget”—“ListSites”—“SelectSiteX”,X是崩溃DC所在站点的数字编号;
(6) 顺序输入“Listdomainsinsite”—“SelectdomainY”,Y是崩溃DC所在域的数字编号;
(7) 顺序输入“ListServersinSite”—“SelectServerZ”,Z是崩溃DC的数字编号;
(8) 使用“Quit”退回到“Metadatacleanup”上下文;
(9) 运行“Removeselectedserver”,在出现确认对话框时点击“是”,并认删除操作成功;
(10)输入“Quit”直到退出NTDSUTIL.EXE。
此外,检查以下位置是存在崩溃DC的残留记录,如果存在则将其删除:
(1) “ActiveDirectory用户和计算机”中,“DomainControllers”OU下的计算机帐户;
(2) “ActiveDirectory用户和计算机”中,从“查看”菜单选中“高级功能”,“System”容器下“FileReplicationService”-“DomainSystemVolume(SYSVOLshare)”中的计算机对象;
(3) DNS中的正向和反向记录。
至此灾难恢复完成,接下来需要尽快修复崩溃DC的硬件故障,或者使用新的硬件,重新安装操作系统,加入域并提升为DC(使用原有的计算机名网络配置,按照域控制器安装说明安装成为DC),以继续提供容错能力。
2 备份ActiveDirectory数据库
2.1手动备份ActiveDirectory数据库
通过备份工具对“系统状态”进行备份(包含ActiveDirectory数据库、注册表、系统文件等),以建立可供灾难恢复使用的数据副本。
每次对AD进行大的修改前后要及时备份,应对所有的域控制器分别进行备份,备份数据要尽量存放在生成备份的服务器之外。
手动备份ActiveDirectory数据库的操作如下:
(1) 以域管理员或备份操作员帐户登录到域控制器;
(2) 从“开始”,“运行”启动“Ntbackup.exe”;
(3) 如果以“向导模式”启动,切换到“高级模式”;
(4) 在“备份”标签下,备份“系统状态”到适当的位置;
(5) 点击“开始备份”;
(6) 在备份完成后点击“报告”确认备份正确完成,然后关闭“备份工具。
2.2建立定时备份的计划任务
建议使用附件脚本SysBackup.vbs在所有域控制器上建立定时任务,以自动备份系统状态,该脚本同时能够设定备份文件保存的时间,以节省磁盘空间。
使用该脚本建立定时备份任务的操作方法:
(1) 以域管理员帐户登录到域控制器;
(2) 拷贝SysBackup.vbs到某个目录下(如D:
\SysBackup),并根据需要修改以下参数:
strFolder="D:
\SysBackup\" '备份文件保存的位置
strFileName=Date()&".BAK" '备份文件名格式(备份日期.BAK)
intKeepDays=14 '备份文件保存的时间(14天)
(3) 从“控制面板”-“计划任务”启动“添加任务计划”向导;
(4) 在“运行的应用程序”页面点击“浏览”,在“文件名”中输入“%systemroot%\system32\wscript.exe”,然后点击“打开”;
(5) 输入任务名称,如“定时备份系统状态”,根据需要配置运行时间,如“每天”;
(6) 将起始时间设置为服务器空闲的时间,如1:
00AM;
(7) 在用户名和密码中输入服务器Administrators组或者BackupOperators组用户的账户和密码,完成新建任务向导;
(8) 从“控制面板”-“计划任务”中右击以上建立的任务,选择“属性”;
在“任务”页面中,修改“运行”为(假设脚本位于D:
\SysBakcup目录):
%systemroot%\system32\wscript.exe"D:
\SysBackup\SysBackup.vbs"
(9) 可能需要再次输入第7步的用户名和密码,然后保存退出任务属性。
建议对所有域控制器均设置此备份任务。
备份成功与否,可以从应用程序事件日志查看。
可以将“备份文件保存位置”设置为共享文件夹,或者在备份完成后手动拷贝到其他服务器,以避免备份产生服务器磁盘故障导致备份不可用。
3 恢复ActiveDirectory对象
3.1恢复误删除的加入域的计算机帐户
如果由于误操作,从“ActiveDirectory用户和计算机”管理工具中,错误删除了某台域控制器的计算机帐户,需要彻底清除该域控制器在ActiveDirectory中的残留信息,并重新安装请参考“域控制器灾难恢复”部分
如果误删除了少量成员服务器或者客户端计算机,立即在被删除账户的计算机的“控制面板”-“系统”-“计算机名”页面下,从域中修改到工作组中(组名任意),重新启动计算机后再次在“计算机名”页面中修改到域中(不要做任何网络设置变更,不要再次运行加入域的脚本)。
用户配置文件等不会受到任何影响。
如果误删除的是大量计算机账户,需要从备份中恢复,请参考后续章节。
3.2恢复误删除的用户、组和OU
如果误删除的是少量对象,可以采取重新建立的方法,但需注意新建的用户、组账户的SID与原有的不同,所有授予原有账户的权限需要重新进行授权。
如果无法确定原有的授权,或者工作量很大,需要从备份中恢复,请参考后续章节。
当误删除了大量ActiveDirectory对象时,需要及时从备份中恢复,请参考后续章节。
3.3恢复备份中所有的ActiveDirectory对象
如果备份中包含了所有希望保留的对象,可以恢复整个ActiveDirectory数据库。
从备份恢复所有ActiveDirectory对象的操作如下:
(1) 确定可用的DC系统状态备份,遵循以下原则:
a) 使用包含所需对象的最近备份
b) 尽量从第一台域控制器进行恢复
c) 对于计算机账户,超过15天的备份不可使用
d) 对于任何备份,超过60天的不可使用
(2) 在恢复前备份所有DC的系统状态,以免恢复失败;
(3) 建议从PDCEmulator所在域控制进行恢复操作(通常是第一台DC),将恢复操作需要使用的备份文件拷贝到该服务器本地磁盘;
(4) 重新启动该服务器,启动时按F8键,选择“目录服务还原模式”,使用安装ActiveDirectory前的默认Administrator账户和安装过程中设置的“还原模式”密码登录;
(5) 使用NTBackup.exe工具和第3步准备好的备份文件,恢复系统状态;
(6)