Windows 2008數(shù)據(jù)挖掘與活動目錄快照
在我們一系列對Windows Server 2008的報道文章中，前一篇重點(diǎn)介紹了數(shù)據(jù)挖掘工具(Database Mounting Tool)的應(yīng)用，它的功能在于裝載備份的活動目錄(Active Directory)文件，該備份可由微軟自帶的或是第三方軟件提供的卷影拷貝服務(wù)(Volume Shadow Copy Service , VSS)所創(chuàng)建。在前文中，我們詳述了數(shù)據(jù)裝載工具在災(zāi)難恢復(fù)中的優(yōu)點(diǎn)，并且列舉了一些用以訪問歷史數(shù)據(jù)的工具。除了系統(tǒng)級或卷級別的備份方式，ntdsutil命令行工具中的ifm命令對目錄服務(wù)數(shù)據(jù)的備份，還可以用快照方式建立起驅(qū)動器中活動目錄文件的備份，需要時查看時間點(diǎn)進(jìn)行還原。
而在本文中，我們將繼續(xù)介紹Windows Server 2008域控制器引入的新特性，并一如既往地為您推薦一些使操作更為簡便的第三方軟件。
一、 快照功能與系統(tǒng)性能的平衡
對于經(jīng)常使用快照的用戶來說，既要使快照的功能得到盡可能的發(fā)揮，又要保證快照的應(yīng)用對活動目錄的性能影響降至***。因此，在使用中有以下幾點(diǎn)需要注意：
(1) 卷頁的內(nèi)容和狀態(tài)在快照中的保存形式是不同的；
(2) 雖說快照的大小取決于系統(tǒng)的變化和保存的時間，但通常來說，它一般很小，并且要求能被迅速查看；
(3) 快照的信息來源于卷頁，因此它需要依賴磁盤的運(yùn)行。快照工作基于copy on-write的方式會使得磁盤I/O工作量上升，這有可能會對系統(tǒng)的整體性能產(chǎn)生影響；
(4) 必需意識到，快照不能直接用于活動目錄對象的存儲備份工作(得用真實(shí)的系統(tǒng)狀態(tài)和關(guān)鍵卷頁備份)。快照的主要功能是為了使用戶迅速地創(chuàng)建和瀏覽特定時間段的活動目錄狀態(tài)，如此一來，就可以很容易的發(fā)現(xiàn)特定內(nèi)容的改變，從而方便用戶選定最適合的還原狀態(tài)。同時，這也提供了一種審計和對系統(tǒng)狀態(tài)改變的追蹤功能；
(5) 從更深一層的角度來看，快照還能快捷地抽取任一相關(guān)的歷史信息用以插入到用Tombstone Reanimation功能恢復(fù)的對象信息中，或是用于對誤操作的恢復(fù)。
二、快照的操作
快照的創(chuàng)建一般可用ntdsutil命令行工具來實(shí)現(xiàn)，而ntdsutil既可在控制臺下直接啟動，也可通過Windows Sever 2008域控制器的終端服務(wù)會話遠(yuǎn)程啟動。一旦進(jìn)入ntdsutil，輸入Activate Instance NTDS（當(dāng)然也可以把活動實(shí)例改設(shè)為AD LDS）。然后依次輸入snapshot→creat命令，稍過片刻系統(tǒng)即提示成功生成快照集，并得到一個唯一的識別碼(GUID)。為確認(rèn)已創(chuàng)建的快照，可以執(zhí)行l(wèi)ist all來查看同一目錄所有的活動快照的列表(包括創(chuàng)建日期和時間)。以上的步驟也可以通過下面的快照自動生成命令作為一個計劃任務(wù)來實(shí)現(xiàn)：
ntdsutil "Activate Instance NTDS" snapshot create quit quit
生成的快照必須通過DSAMAIN.exe裝載后才能訪問。首先，在命令行上輸入mount，后面跟著擬裝載快照的系統(tǒng)編號或是GUID。快照的編號由字符串"$SNAP"、快照創(chuàng)建的時間和日期（軍用格式）、目標(biāo)卷三部分組成，如$SNAP_200808082008_VOLUMEC$。除了以上部分，還需要輸入活動目錄NTDS.DIT文件的路徑全稱，配合應(yīng)用數(shù)據(jù)裝載工具的-dbpath選項(xiàng)，因此如果采用默認(rèn)的數(shù)據(jù)庫和日志文件設(shè)置，格式變?yōu)椋?/P>
$SNAP_200808082008_VOLUMEC$\Windows\NTDS\NTDS.DIT
完成對快照的瀏覽后，如需中止DSAMAIN.EXE和卸載快照，可以調(diào)用unmount命令，后跟欲卸載快照的系統(tǒng)編號或是GUID。刪除無用的快照使用的是delete命令，格式上與快照的裝載、卸載相一致。快照操作的語法大全可以參照Windows Server 2008技術(shù)知識庫。
#P#三、操作優(yōu)化的第三方軟件
快照的出現(xiàn)大大簡化了由于對活動目錄的誤操作引發(fā)的還原步驟，然而，實(shí)際操作中的還原步驟依舊繁多，包括Tombstone Reanimation還原功能的設(shè)置，以及屬性的還原等。大量免費(fèi)第三方軟件的出現(xiàn)改變了以往的紛雜，它們使得整個操作變得行云流水般順暢。以下就是它們中的一些著名代表。（已經(jīng)商業(yè)化的第三方軟件，如UMove，不在我們的介紹范圍內(nèi)。）
1． Snapshot Recovery Tool
1Identity公司出品的Snapshot Recovery Tool提供免費(fèi)下載，它包含一個命令行式的oirecmgr.exe工具集，能夠提供對象還原，并可將Database Mounting Tool裝載的LDAP實(shí)例的屬性參數(shù)（可以是活動目錄快照，或VSS備份的NTDS.DIT文件）備份至任一Windows Server 2008域控制器下。Snapshot Recovery Tool可在Windows Server 2003 和 2008中的兩種活動目錄環(huán)境中運(yùn)行，但要注意它不能同時對兩種屬性進(jìn)行還原。
雖然Snapshot Recovery Tool采用.NET Framework 2.0框架，但它可在Windows XP Professional或Vista下被遠(yuǎn)程啟動。在命令行中用多重-o選項(xiàng)指定GUID可進(jìn)行任意對象文件的恢復(fù)；或是先將對象存于文本文件，用-of選項(xiàng)獲取對象名稱，并得到特定格式的屬性，然后再進(jìn)行恢復(fù)操作。舉個例子，以下的命令(直接從域控制器USDC-NYC001的控制臺運(yùn)行)將對已被刪除的GUID為7abadaba-daba-d000-0d15-c015dead的對象重標(biāo)識，還原它的屬性，并由33389端口訪問活動目錄快照提取出相關(guān)信息來恢復(fù)前后的鏈接關(guān)系，比如用戶的組成員。還原過來的用戶帳號的密碼已經(jīng)失效，在使用前需要重新設(shè)置，因此下面的命令并不能還原帳號的密碼。
oirecmgr.exe -o 7abadaba-daba-d000-0d15-c015dead -sh USDC-NYC001:33389 -ol -real
2． Directory Service Comparison Tool
Directory Service Comparison Tool提供的功能與上面的相似，同樣也可從網(wǎng)上免費(fèi)下載使用，分為x86和x64兩個版本，但特點(diǎn)在于采用了微軟管理控制臺的圖形界面系統(tǒng)。要對軟件進(jìn)行設(shè)置，可在樹形節(jié)點(diǎn)的菜單下選擇Datasource Settings，彈出對話框后指定目標(biāo)域控制器和快照服務(wù)器名稱，快照可由DSAMAIN.EXE指定LDAP端口裝載。控制臺的窗格劃分為3個部分，分別列出的是DSA裝載的LDAP目錄服務(wù)庫的修改、添加和刪除項(xiàng)。不過，該軟件在使用功能上有一定的局限性，可能是因?yàn)樵O(shè)計的缺陷對活動目錄快照中記錄的highestCommittedUSN屬性造成了影響。與Snapshot Recovery Tool一樣，該軟件的運(yùn)行也需 要安裝.NET Framework 2.0平臺，還有MMC3.0，并且支持遠(yuǎn)程安裝到Windows XP Professional 或 Vista 系統(tǒng)下。
3． Active Directory Explorer
Active Directory Explorer由Sysinternals小組(Bryce Cogswell和Mark Russinovich)開發(fā)，它獨(dú)特之處在于能不依賴Windows Server 2008活動目錄提供的功能而自身創(chuàng)建快照，并且所有版本均具備這個功能。它能登陸到域控制器獲取在線活動目錄環(huán)境的信息，或是讀取備份和用DSAMAIN.EXE裝載的兼容VSS快照。另外，它還存儲任意位置的信息以便脫機(jī)瀏覽。總之，這種直觀圖形界面式的AD Explorer方便了項(xiàng)目的瀏覽，并有查詢和對比功能，大大簡化了用戶的操作。
如果你需要大型應(yīng)用環(huán)境下的更多高級功能，如自動運(yùn)行、報告和記錄，并且希望軟件能支持除Windows Server 2008活動目錄外的更多環(huán)境，可能就需要考慮一下已經(jīng)商業(yè)化的第三方軟件。如Quest公司的Recovery Manager for Active Directory，UTools公司的UMove for Active Directory，還有ScriptLogic的Active Administrator。
以上主要介紹了數(shù)據(jù)挖掘工具以及與之相關(guān)的活動目錄快照的功能。在下一篇中，我們將對Windows Server 2008域控制器下全新的審核機(jī)制做一個深入的觀察。
【編輯推薦】
