活動(dòng)目錄災(zāi)難管理員應(yīng)該如何應(yīng)對(duì)
原創(chuàng)【51CTO精選譯文】活動(dòng)目錄（AD）通常是公司企業(yè)的關(guān)鍵網(wǎng)絡(luò)服務(wù)之一。要是沒有它，一切都會(huì)慢慢地停下來(lái)?？紤]到這一點(diǎn)，防備可能會(huì)影響活動(dòng)目錄林（forest）的各種災(zāi)難就顯得很重要。
說(shuō)到活動(dòng)目錄，災(zāi)難的嚴(yán)重性可能大不一樣。有的很簡(jiǎn)單，比如某一個(gè)域控制器（DC）出現(xiàn)故障，或者某一個(gè)對(duì)象不小心被刪除。比較糟糕的情況是，整個(gè)組織單元（OU）層次體系不小心被刪除。而最糟糕的情況則是，可能需要還原整個(gè)域或活動(dòng)目錄林。
不過好消息是，適用于從簡(jiǎn)單災(zāi)難恢復(fù)過來(lái)的許多技巧和方法同樣適用于從重大災(zāi)難恢復(fù)過來(lái)。本文將探討如何從域控制器出故障和對(duì)象不小心被刪除這兩種最常見的災(zāi)難恢復(fù)過來(lái)。
備份策略
你首先要確保：有東西可以用來(lái)恢復(fù)。起碼，應(yīng)該有有效的系統(tǒng)狀態(tài)備份，備份了活動(dòng)目錄林中每個(gè)域的至少兩個(gè)域控制器。Windows Server Backup（Windows Server 2008及以后版本）、NTBackup（Windows Server 2003和Windows 2000 Server）以及大多數(shù)商用備份工具都可以執(zhí)行有效的系統(tǒng)狀態(tài)備份。不過，測(cè)試備份總是值得的，確保一切都處于良好狀態(tài)。備份工具方面有一點(diǎn)很重要，那就是應(yīng)該使用一款可感知卷影復(fù)制服務(wù)（VSS）的備份工具。依賴磁盤鏡像或虛擬機(jī)快照技術(shù)的備份工具一般與活動(dòng)目錄不兼容。還原由這類工具生成的備份會(huì)引起嚴(yán)重的復(fù)制故障，這種故障叫更新序列號(hào)（USN）回滾。
在許多企業(yè)，負(fù)責(zé)服務(wù)器備份和還原的與運(yùn)行活動(dòng)目錄的常常不是同一個(gè)團(tuán)隊(duì)。這帶來(lái)了幾個(gè)問題。首先，你無(wú)法直接控制備份過程，因而很難驗(yàn)證備份內(nèi)容。其次，許多備份工具要求在進(jìn)行備份的每個(gè)活動(dòng)目錄上要有代理軟件，這間接提供了對(duì)域控制器的更高訪問權(quán)。
為了應(yīng)對(duì)這些問題，我對(duì)域控制器備份經(jīng)常采用兩層方法。我每天晚上使用腳本，對(duì)域控制器運(yùn)行Windows Server Backup，把一兩周的備份保留在本地域控制器上。然后共享含有備份的文件夾，只允許備份工具可以訪問，因?yàn)樵S多備份工具不需要代理軟件就可以備份文件共享區(qū)。我有時(shí)還把備份文件保存在同一個(gè)站點(diǎn)里面的鄰近域控制器上。那樣，如果你在某個(gè)站點(diǎn)有域控制器1和域控制器2，域控制器 1的備份就保存在域控制器2上的文件共享區(qū)上，反之亦然。
這種兩層方法的優(yōu)點(diǎn)包括如下：
•可以減小依賴另一個(gè)團(tuán)隊(duì)來(lái)備份的一些風(fēng)險(xiǎn)。
•萬(wàn)一需要進(jìn)行還原，可以使用手頭的本地備份文件立即進(jìn)行還原，不用等另一個(gè)團(tuán)隊(duì)來(lái)進(jìn)行還原。
•萬(wàn)一備份遠(yuǎn)程執(zhí)行，你不用等備份通過廣域網(wǎng)從另一個(gè)站點(diǎn)拷貝過來(lái)。
我在另一篇文章《如何用Windows Server Backup來(lái)管理本地備份》（http://briandesmond.com/blog/managing-local-backups-with-windows-server-backup/）中介紹了Windows Server Backup的設(shè)置方法，還發(fā)布了用來(lái)運(yùn)行Windows Server Backup的腳本。
域控制器恢復(fù)
活動(dòng)目錄的優(yōu)點(diǎn)之一是，域控制器基本上具有無(wú)狀態(tài)的性質(zhì)。除了可能擔(dān)任一個(gè)或多個(gè)靈活單主機(jī)操作（FSMO）角色外，域控制器一般應(yīng)該是域中其他域控制器的匹配副本，除了復(fù)制時(shí)可能有些延遲外——延遲長(zhǎng)短取決于系統(tǒng)拓?fù)浣Y(jié)構(gòu)。如果某個(gè)故障導(dǎo)致域控制器無(wú)法運(yùn)行，這種無(wú)狀態(tài)性質(zhì)就非常好，因?yàn)槌３２恍枰獜膫浞輥?lái)進(jìn)行復(fù)雜的還原。相反，你只要重新安裝Windows，使用Dcpromo將服務(wù)器升級(jí)為域控制器，將所有數(shù)據(jù)復(fù)制回來(lái)——假定你的域有不止一個(gè)域控制器。如果你的域只有一個(gè)域控制器，那么只要部署第二個(gè)域控制器，就能大大降低故障風(fēng)險(xiǎn)。
不過在你重新安裝和重新升級(jí)域控制器之前，必須先清理活動(dòng)目錄，這個(gè)過程分兩步。第一步是捕魚域控制器可能為域中另一個(gè)域控制器擔(dān)任的任何FSMO角色。如果你不確信哪些域控制器擔(dān)任域中的FSMO角色，請(qǐng)?jiān)诿钐崾痉翱谶\(yùn)行：
Netdom query fsmo
就可以看個(gè)究竟。然后，可以使用Ntdsutil實(shí)用工具，捕獲FSMO角色。在微軟文章《使用 Ntdsutil.exe 捕獲 FSMO 角色或?qū)⑵滢D(zhuǎn)移到域控制器》（http://support.microsoft.com/kb/255504）中，按照“捕獲FSMO角色”章節(jié)介紹的指示操作即可。值得一提的是，你在捕獲FSMO角色時(shí)，一條最佳實(shí)踐是，千萬(wàn)不要讓擔(dān)任原始角色的域控制器恢復(fù)運(yùn)行。
由于不可能讓擔(dān)任原始FSMO角色的域控制器重新投入使用，第二步是針對(duì)活動(dòng)目錄中失效域控制器的配置，清理元數(shù)據(jù)。這一步同樣可以用Ntdsutil來(lái)完成。請(qǐng)按照微軟文章中《域控制器降級(jí)失敗后，如何刪除活動(dòng)目錄中的數(shù)據(jù)》（http://support.microsoft.com/kb/216498）的指示操作即可。另外，如果你在使用Server 2008（或以后版本）的活動(dòng)目錄用戶和計(jì)算機(jī)（Active Directory Users and Computers）管理單元，只要在域控制器組織單元中刪除域控制器的計(jì)算機(jī)帳戶，就可以完成這一步。
當(dāng)需要復(fù)制的數(shù)據(jù)量會(huì)給網(wǎng)絡(luò)帶來(lái)過大的負(fù)擔(dān)時(shí)，通過網(wǎng)絡(luò)重新升級(jí)域控制器可能行不通。這種情況下，有另外幾個(gè)辦法。第一個(gè)辦法是從備份來(lái)還原域控制器的系統(tǒng)狀態(tài)，然后繼續(xù)進(jìn)行。第二個(gè)辦法是使用從介質(zhì)安裝（IFM）功能——該功能已添加到Windows 2003版本中。借助IFM，拿來(lái)系統(tǒng)狀態(tài)備份（用Windows 2003中的NTBackup來(lái)創(chuàng)建）或IFM介質(zhì)（用Server 2008或以后版本中的Ntdsutil來(lái)創(chuàng)建）后，讓Dcpromo指向IFM介質(zhì)中的活動(dòng)目錄數(shù)據(jù)庫(kù)。Windows 2003創(chuàng)建的IFM介質(zhì)必須先還原到文件系統(tǒng)上的可選用位置，以便Dcpromo可以使用它。域控制器會(huì)對(duì)介質(zhì)中的數(shù)據(jù)庫(kù)作必要的更改，只復(fù)制自介質(zhì)創(chuàng)建以來(lái)發(fā)生變更的部分。
活動(dòng)目錄對(duì)象的生存時(shí)間
刪除了一個(gè)活動(dòng)目錄對(duì)象，其實(shí)后臺(tái)發(fā)生了許多事。最重要的是，刪除對(duì)象與從活動(dòng)目錄數(shù)據(jù)庫(kù)刪除記錄并沒有直接關(guān)聯(lián)。為了保持活動(dòng)目錄復(fù)制模型的一致性，對(duì)象先要轉(zhuǎn)變成邏輯刪除（tombstoned）狀態(tài)，如圖1所示?；顒?dòng)目錄復(fù)制了表明對(duì)象已被刪除的屬性變更，而不是采用分布式機(jī)制來(lái)復(fù)制從數(shù)據(jù)庫(kù)物理刪除的內(nèi)容。
圖1：活動(dòng)目錄對(duì)象的默認(rèn)生存時(shí)間
從活動(dòng)目錄刪除一個(gè)對(duì)象后，isDeleted屬性被設(shè)成True，這意味著該對(duì)象的幾乎所有屬性都被刪除。該對(duì)象被移到Deleted Objects容器，它的lastKnownParent屬性被印上了父對(duì)象的可辨別名稱（DN），之后再刪除對(duì)象。對(duì)象被標(biāo)記為已刪除后，查詢活動(dòng)目錄的任何工具都看不到它，除非你添加了一個(gè)特殊的LDAP控件，表明想讓活動(dòng)目錄在搜索結(jié)果中返回刪除對(duì)象。各種免費(fèi)的LDAP查詢工具（如AdFind）為你添加了這個(gè)LDAP控件，因而很容易搜索刪除對(duì)象。
這時(shí)，對(duì)象仍作為邏輯刪除對(duì)象存留一段時(shí)間。活動(dòng)目錄林的默認(rèn)邏輯刪除生存時(shí)間基于活動(dòng)目錄林中第一個(gè)域控制器的操作系統(tǒng)。表1顯示了默認(rèn)邏輯刪除生存時(shí)間。升級(jí)活動(dòng)目錄并不改變活動(dòng)目錄林的邏輯刪除生存時(shí)間。
|
表 1：新活動(dòng)目錄林的默認(rèn)邏輯刪除生存時(shí)間 |
|
|
第一個(gè)域控制器的操作系統(tǒng) |
邏輯刪除生存時(shí)間 |
|
Windows 2000 |
60天 |
|
Windows 2003 |
180天 |
|
Windows 2003 R2 |
60天 |
|
Server 2008 |
180天 |
|
Server 2008 R2 |
180天 |
表1：新活動(dòng)目錄林的默認(rèn)邏輯刪除生存時(shí)間
有時(shí)，在每個(gè)域控制器上會(huì)運(yùn)行名為垃圾收集的后臺(tái)進(jìn)行。垃圾收集進(jìn)程（又叫垃圾收集器）會(huì)搜索數(shù)據(jù)庫(kù)，查找存留期比活動(dòng)目錄林的邏輯刪除生存時(shí)間更久的邏輯刪除對(duì)象，然后將它們從活動(dòng)目錄數(shù)據(jù)庫(kù)刪除出去。
直到某個(gè)邏輯刪除對(duì)象被垃圾收集器清除后，才可以使用名為邏輯刪除恢復(fù)（tombstone reanimation）的過程來(lái)恢復(fù)對(duì)象?；謴?fù)邏輯刪除對(duì)象時(shí)，只能恢復(fù)在邏輯刪除過程中保留的幾個(gè)屬性。比如說(shuō)，為用戶對(duì)象保留的屬性包括用戶的SID、SID歷史和用戶名（sAMAccountName）。注意：該列表不包括一些屬性，比如用戶的密碼、組成員關(guān)系或用戶身份信息（如姓名和部門）。只要修改模式中每個(gè)屬性定義的searchFlags屬性，就可以控制列表含有對(duì)象被邏輯刪除后保留的屬性。你想添加多少屬性，就可以添加多少。不過，無(wú)法添加鏈接屬性，比如組成員關(guān)系或含有用戶郵箱的郵箱數(shù)據(jù)庫(kù)。想了解如何修改searchFlags屬性，請(qǐng)參閱MSDN網(wǎng)頁(yè)“Search-Flags屬性”（http://msdn.microsoft.com/en-us/library/ms679765%28VS.85%29.aspx）。
在Server 2008 R2活動(dòng)目錄功能級(jí)別（FFL）層面運(yùn)行的活動(dòng)目錄林中，你可以啟用一項(xiàng)名為活動(dòng)目錄回收站的新特性。如圖2所示，活動(dòng)目錄回收站在對(duì)象被刪除時(shí)與被邏輯刪除時(shí)之間添加了一個(gè)中間狀態(tài)。當(dāng)對(duì)象處于這個(gè)新的刪除狀態(tài)時(shí)，被隱藏起來(lái)，不出現(xiàn)在搜索結(jié)果中，但它的所有屬性（包括組成員關(guān)系等鏈接屬性）都保留下來(lái)。
圖2：活動(dòng)目錄回收站啟用后，活動(dòng)目錄對(duì)象的生存時(shí)間
可以使用用來(lái)恢復(fù)邏輯刪除對(duì)象的同一個(gè)過程，將刪除對(duì)象階段的對(duì)象恢復(fù)到刪除時(shí)的精確狀態(tài)。默認(rèn)情況下，對(duì)象留在刪除對(duì)象階段的時(shí)間與活動(dòng)目錄林的邏輯刪除生存時(shí)間一樣長(zhǎng)，如表1所概述的那樣。只要修改活動(dòng)目錄林的msDS-deletedObjectLifetime屬性，就可以更改這個(gè)時(shí)間段。
刪除對(duì)象生存時(shí)間到期后，垃圾收集器將對(duì)象移到回收對(duì)象階段。回收對(duì)象的功能相當(dāng)于邏輯刪除對(duì)象，不過有一個(gè)重要區(qū)別：你無(wú)法恢復(fù)回收對(duì)象，也無(wú)法從備份來(lái)還原。#p#
對(duì)象恢復(fù)機(jī)制
由于不同版本的活動(dòng)目錄日趨成熟，恢復(fù)刪除對(duì)象的機(jī)制大有完善。在Windows 2000中，恢復(fù)刪除對(duì)象的唯一辦法是從備份來(lái)執(zhí)行強(qiáng)制性還原（authoritative restore）。Windows 2003引入了邏輯刪除恢復(fù)的概念，這樣不需要從備份來(lái)還原，就可以恢復(fù)刪除對(duì)象的部分拷貝。Server 2008 R2則添加了活動(dòng)目錄回收站，這樣不需要還原，就可以完全恢復(fù)刪除對(duì)象。
值得一提的是，活動(dòng)目錄備份（以及IFM介質(zhì)）的擱置時(shí)間與邏輯刪除生存時(shí)間一樣。如果啟用了活動(dòng)目錄回收站，擱置時(shí)間是刪除對(duì)象生存時(shí)間或回收對(duì)象生存時(shí)間中較短的那個(gè)。比如說(shuō)，如果刪除對(duì)象生存時(shí)間是180天，回收對(duì)象生存時(shí)間是60天，那么擱置時(shí)間是60天。因而，不可能從時(shí)間比其中一個(gè)都久遠(yuǎn)的備份來(lái)還原刪除對(duì)象。
強(qiáng)制性還原
需要從備份恢復(fù)一個(gè)對(duì)象或一組對(duì)象時(shí)，強(qiáng)制性還原過程常常是個(gè)辦法。如果你之前想域控制器的F8啟動(dòng)菜單上的目錄服務(wù)還原模式（DSRM）選項(xiàng)有啥用，現(xiàn)在可以選擇這個(gè)選項(xiàng)來(lái)進(jìn)行強(qiáng)制性還原。在DSRM模式下啟動(dòng)時(shí)，活動(dòng)目錄從不開啟，數(shù)據(jù)庫(kù)處于離線狀態(tài)。你可以在啟動(dòng)進(jìn)入到DSRM模式的同時(shí)，從備份還原活動(dòng)目錄數(shù)據(jù)庫(kù)，然后使用Ntdsutil選擇需要還原的對(duì)象。注意：禁止了Server 2008及以后版本的域控制器上的活動(dòng)目錄NTDS服務(wù)后，就無(wú)法進(jìn)行還原。
進(jìn)行強(qiáng)制性還原時(shí)，活動(dòng)目錄提高了還原對(duì)象的內(nèi)部版本號(hào)。這確保域控制器可重新使用后，那些對(duì)象復(fù)制到了域的其余部分，還原后版本變成了全局有效。
進(jìn)行強(qiáng)制性還原常常是為了恢復(fù)含有大量對(duì)象（如用戶、用戶組、計(jì)算機(jī)及其他組織單元）的組織單元（OU）。假設(shè)你不小心刪除了contoso.com域中的Executives OU。為了還原該OU及里面的一切對(duì)象，需要采取下面幾個(gè)步驟：
1. 啟動(dòng)進(jìn)入到DSRM模式，用你在Dcpromo期間設(shè)置的DSRM密碼來(lái)登錄。
2. 還原不小心刪除前創(chuàng)建的系統(tǒng)狀態(tài)備份。不要重啟。（許多人常犯這錯(cuò)誤，面臨壓力時(shí)更會(huì)犯）。
3. 開啟命令提示符窗口，運(yùn)行Ntdsutil。
4. 運(yùn)行命令：
authoritative restore
5. 運(yùn)行命令：
restore subtree
OU=Executives,DC=contoso,DC=com
（雖然該命令在這里換了行，但要把它們?nèi)枯斎氲揭恍猩?。其他換行的命令也是如此。）
6. 檢查并核實(shí)確認(rèn)安全提示符。然后，你會(huì)收到像圖3所示的消息。記下文本和生成的LDAP數(shù)據(jù)交換格式（LDIF）文件。
圖3：表明強(qiáng)制性還原成功的消息。
7. 重啟域控制器，進(jìn)入到正常的操作模式。
8. 登錄到域控制器，打開命令提示符窗口。運(yùn)行下列命令，導(dǎo)入第6步期間導(dǎo)出的LDIF文件：
ldifde -i -f ar_20110221-151131_links_contoso.com.ldf
這會(huì)導(dǎo)入還原對(duì)象的鏈接屬性值（如組成員關(guān)系）。
如果你只需要還原一個(gè)對(duì)象（如刪除的計(jì)算機(jī)對(duì)象），可以使用restore object命令，而不是使用第5步中的restore subtree命令。如果你的活動(dòng)目錄林含有多個(gè)域，就要使用第6步中導(dǎo)出的文本文件，為其他域中的域本地組還原組成員關(guān)系。
恢復(fù)邏輯刪除
有許多工具可以用來(lái)恢復(fù)邏輯刪除對(duì)象，但它們最終都執(zhí)行同樣的步驟。所以這里舉個(gè)例子，表明使用AdRestore實(shí)用工具來(lái)恢復(fù)名為John Doe的刪除用戶需要哪些步驟：
1. 打開命令提示符窗口，用下列命令搜索該用戶
adrestore Doe
AdRestore會(huì)搜索刪除對(duì)象，查找與*doe*匹配的任何對(duì)象，并返回輸出結(jié)果，如圖4所示。
圖4：AdRestore實(shí)用工具的示例輸出
2. 確保找到了想要恢復(fù)的對(duì)象，然后再次運(yùn)行AdRestore，使用-r參數(shù)選項(xiàng)：
adrestore -r Doe
3.確認(rèn)問你是否想恢復(fù)該對(duì)象的提示。然后，AdRestore會(huì)把該對(duì)象恢復(fù)到之前所在的位置。
如前所述，邏輯刪除對(duì)象被刪除后失去了大部分屬性。所以，你得重新添加許多屬性，讓恢復(fù)后的對(duì)象再度有用。（一般來(lái)說(shuō)，如果你使用身份自動(dòng)管理工具，邏輯刪除對(duì)象被恢復(fù)后，屬性會(huì)自動(dòng)重新添加上去。）
活動(dòng)目錄回收站的刪除恢復(fù)
活動(dòng)目錄回收站無(wú)疑是最佳的恢復(fù)選項(xiàng)，因?yàn)榭梢赃€原所有屬性，包括組成員關(guān)系等鏈接屬性。不過如前所述，你的活動(dòng)目錄林需要在Windows Server 2008 R2 FFL層面運(yùn)行，才能利用這個(gè)選項(xiàng)。
只要運(yùn)行下面這樣的命令，就可以使用Windows PowerShell來(lái)啟用活動(dòng)目錄回收站。
Enable-ADOptionalFeature -Identity 'CN=Recycle Bin Feature, CN=Optional Features, CN=Directory Service, CN=Windows NT,CN=Services, CN=Configuration,DC=contoso,DC=com' -Scope ForestOrConfigurationSet -Target 'contoso.com'
注意：?jiǎn)⒂没顒?dòng)目錄回收站不是一個(gè)可逆轉(zhuǎn)的步驟。此外，啟用活動(dòng)目錄回收站時(shí)已經(jīng)被邏輯操作的對(duì)象無(wú)法再通過邏輯刪除恢復(fù)來(lái)恢復(fù)。
你啟用了活動(dòng)目錄回收站后，之后刪除的任何對(duì)象都可以在活動(dòng)目錄林的刪除對(duì)象生存時(shí)間內(nèi)完全恢復(fù)。有許多辦法來(lái)恢復(fù)刪除對(duì)象，但最容易的辦法是使用PowerShell的Restore-ADObject cmdlet。比如說(shuō)，下面是恢復(fù)刪除名為John Doe的用戶的幾個(gè)步驟：
1.從Start（開始）菜單的Administrative Tools（管理工具）部分啟動(dòng)Windows PowerShell活動(dòng)目錄模塊。
2. 運(yùn)行下列命令，搜索刪除用戶：
Get-ADObject -SearchBase "CN=Deleted Objects,DC=contoso,DC=com" -ldapFilter:"(msDs-lastKnownRDN=John Doe)" -IncludeDeletedObjects -Properties lastKnownParent
確保它是結(jié)果集中返回的唯一對(duì)象。
3. 用下列命令還原該對(duì)象：
Get-ADObject -SearchBase "CN=Deleted Objects,DC=contoso,DC=com" -ldapFilter:"(msDs-lastKnownRDN=John Doe)" -IncludeDeletedObjects -Properties lastKnownParent | Restore-ADObject
如果你刪除了整個(gè)組織單元（OU），就要按正確的順序來(lái)恢復(fù)對(duì)象（也就是說(shuō)，某個(gè)對(duì)象在父對(duì)象恢復(fù)之前是無(wú)法恢復(fù)的），以便它們可以恢復(fù)到原來(lái)所屬的位置。微軟發(fā)布了恢復(fù)刪除對(duì)象樹的PowerShell腳本（http://technet.microsoft.com/en-us/library/dd379504%28WS.10%29.aspx），你可以用來(lái)執(zhí)行這項(xiàng)任務(wù)。
復(fù)雜的任務(wù)
為活動(dòng)目錄災(zāi)難作規(guī)則是項(xiàng)復(fù)雜的任務(wù)，因?yàn)榭赡茉S多部分會(huì)出錯(cuò)。不過，如果你知道如何從出現(xiàn)故障的域控制器和不小心刪除對(duì)象或整棵對(duì)象樹（如OU）恢復(fù)過來(lái)，那么完全為災(zāi)難作好了防備。
【51CTO精選譯文 轉(zhuǎn)載請(qǐng)標(biāo)明出處與作者】
【編輯推薦】
