活動目錄災(zāi)難管理員應(yīng)該如何應(yīng)對
原創(chuàng)【51CTO精選譯文】活動目錄（AD）通常是公司企業(yè)的關(guān)鍵網(wǎng)絡(luò)服務(wù)之一。要是沒有它，一切都會慢慢地停下來。考慮到這一點，防備可能會影響活動目錄林（forest）的各種災(zāi)難就顯得很重要。
說到活動目錄，災(zāi)難的嚴(yán)重性可能大不一樣。有的很簡單，比如某一個域控制器（DC）出現(xiàn)故障，或者某一個對象不小心被刪除。比較糟糕的情況是，整個組織單元（OU）層次體系不小心被刪除。而最糟糕的情況則是，可能需要還原整個域或活動目錄林。
不過好消息是，適用于從簡單災(zāi)難恢復(fù)過來的許多技巧和方法同樣適用于從重大災(zāi)難恢復(fù)過來。本文將探討如何從域控制器出故障和對象不小心被刪除這兩種最常見的災(zāi)難恢復(fù)過來。
備份策略
你首先要確保：有東西可以用來恢復(fù)。起碼，應(yīng)該有有效的系統(tǒng)狀態(tài)備份，備份了活動目錄林中每個域的至少兩個域控制器。Windows Server Backup（Windows Server 2008及以后版本）、NTBackup（Windows Server 2003和Windows 2000 Server）以及大多數(shù)商用備份工具都可以執(zhí)行有效的系統(tǒng)狀態(tài)備份。不過，測試備份總是值得的，確保一切都處于良好狀態(tài)。備份工具方面有一點很重要，那就是應(yīng)該使用一款可感知卷影復(fù)制服務(wù)（VSS）的備份工具。依賴磁盤鏡像或虛擬機快照技術(shù)的備份工具一般與活動目錄不兼容。還原由這類工具生成的備份會引起嚴(yán)重的復(fù)制故障，這種故障叫更新序列號（USN）回滾。
在許多企業(yè)，負(fù)責(zé)服務(wù)器備份和還原的與運行活動目錄的常常不是同一個團(tuán)隊。這帶來了幾個問題。首先，你無法直接控制備份過程，因而很難驗證備份內(nèi)容。其次，許多備份工具要求在進(jìn)行備份的每個活動目錄上要有代理軟件，這間接提供了對域控制器的更高訪問權(quán)。
為了應(yīng)對這些問題，我對域控制器備份經(jīng)常采用兩層方法。我每天晚上使用腳本，對域控制器運行Windows Server Backup，把一兩周的備份保留在本地域控制器上。然后共享含有備份的文件夾，只允許備份工具可以訪問，因為許多備份工具不需要代理軟件就可以備份文件共享區(qū)。我有時還把備份文件保存在同一個站點里面的鄰近域控制器上。那樣，如果你在某個站點有域控制器1和域控制器2，域控制器 1的備份就保存在域控制器2上的文件共享區(qū)上，反之亦然。
這種兩層方法的優(yōu)點包括如下：
•可以減小依賴另一個團(tuán)隊來備份的一些風(fēng)險。
•萬一需要進(jìn)行還原，可以使用手頭的本地備份文件立即進(jìn)行還原，不用等另一個團(tuán)隊來進(jìn)行還原。
•萬一備份遠(yuǎn)程執(zhí)行，你不用等備份通過廣域網(wǎng)從另一個站點拷貝過來。
我在另一篇文章《如何用Windows Server Backup來管理本地備份》（http://briandesmond.com/blog/managing-local-backups-with-windows-server-backup/）中介紹了Windows Server Backup的設(shè)置方法，還發(fā)布了用來運行Windows Server Backup的腳本。
域控制器恢復(fù)
活動目錄的優(yōu)點之一是，域控制器基本上具有無狀態(tài)的性質(zhì)。除了可能擔(dān)任一個或多個靈活單主機操作（FSMO）角色外，域控制器一般應(yīng)該是域中其他域控制器的匹配副本，除了復(fù)制時可能有些延遲外——延遲長短取決于系統(tǒng)拓?fù)浣Y(jié)構(gòu)。如果某個故障導(dǎo)致域控制器無法運行，這種無狀態(tài)性質(zhì)就非常好，因為常常不需要從備份來進(jìn)行復(fù)雜的還原。相反，你只要重新安裝Windows，使用Dcpromo將服務(wù)器升級為域控制器，將所有數(shù)據(jù)復(fù)制回來——假定你的域有不止一個域控制器。如果你的域只有一個域控制器，那么只要部署第二個域控制器，就能大大降低故障風(fēng)險。
不過在你重新安裝和重新升級域控制器之前，必須先清理活動目錄，這個過程分兩步。第一步是捕魚域控制器可能為域中另一個域控制器擔(dān)任的任何FSMO角色。如果你不確信哪些域控制器擔(dān)任域中的FSMO角色，請在命令提示符窗口運行：
Netdom query fsmo
就可以看個究竟。然后，可以使用Ntdsutil實用工具，捕獲FSMO角色。在微軟文章《使用 Ntdsutil.exe 捕獲 FSMO 角色或?qū)⑵滢D(zhuǎn)移到域控制器》（http://support.microsoft.com/kb/255504）中，按照“捕獲FSMO角色”章節(jié)介紹的指示操作即可。值得一提的是，你在捕獲FSMO角色時，一條最佳實踐是，千萬不要讓擔(dān)任原始角色的域控制器恢復(fù)運行。
由于不可能讓擔(dān)任原始FSMO角色的域控制器重新投入使用，第二步是針對活動目錄中失效域控制器的配置，清理元數(shù)據(jù)。這一步同樣可以用Ntdsutil來完成。請按照微軟文章中《域控制器降級失敗后，如何刪除活動目錄中的數(shù)據(jù)》（http://support.microsoft.com/kb/216498）的指示操作即可。另外，如果你在使用Server 2008（或以后版本）的活動目錄用戶和計算機（Active Directory Users and Computers）管理單元，只要在域控制器組織單元中刪除域控制器的計算機帳戶，就可以完成這一步。
當(dāng)需要復(fù)制的數(shù)據(jù)量會給網(wǎng)絡(luò)帶來過大的負(fù)擔(dān)時，通過網(wǎng)絡(luò)重新升級域控制器可能行不通。這種情況下，有另外幾個辦法。第一個辦法是從備份來還原域控制器的系統(tǒng)狀態(tài)，然后繼續(xù)進(jìn)行。第二個辦法是使用從介質(zhì)安裝（IFM）功能——該功能已添加到Windows 2003版本中。借助IFM，拿來系統(tǒng)狀態(tài)備份（用Windows 2003中的NTBackup來創(chuàng)建）或IFM介質(zhì)（用Server 2008或以后版本中的Ntdsutil來創(chuàng)建）后，讓Dcpromo指向IFM介質(zhì)中的活動目錄數(shù)據(jù)庫。Windows 2003創(chuàng)建的IFM介質(zhì)必須先還原到文件系統(tǒng)上的可選用位置，以便Dcpromo可以使用它。域控制器會對介質(zhì)中的數(shù)據(jù)庫作必要的更改，只復(fù)制自介質(zhì)創(chuàng)建以來發(fā)生變更的部分。
活動目錄對象的生存時間
刪除了一個活動目錄對象，其實后臺發(fā)生了許多事。最重要的是，刪除對象與從活動目錄數(shù)據(jù)庫刪除記錄并沒有直接關(guān)聯(lián)。為了保持活動目錄復(fù)制模型的一致性，對象先要轉(zhuǎn)變成邏輯刪除（tombstoned）狀態(tài)，如圖1所示。活動目錄復(fù)制了表明對象已被刪除的屬性變更，而不是采用分布式機制來復(fù)制從數(shù)據(jù)庫物理刪除的內(nèi)容。
圖1：活動目錄對象的默認(rèn)生存時間
從活動目錄刪除一個對象后，isDeleted屬性被設(shè)成True，這意味著該對象的幾乎所有屬性都被刪除。該對象被移到Deleted Objects容器，它的lastKnownParent屬性被印上了父對象的可辨別名稱（DN），之后再刪除對象。對象被標(biāo)記為已刪除后，查詢活動目錄的任何工具都看不到它，除非你添加了一個特殊的LDAP控件，表明想讓活動目錄在搜索結(jié)果中返回刪除對象。各種免費的LDAP查詢工具（如AdFind）為你添加了這個LDAP控件，因而很容易搜索刪除對象。
這時，對象仍作為邏輯刪除對象存留一段時間。活動目錄林的默認(rèn)邏輯刪除生存時間基于活動目錄林中第一個域控制器的操作系統(tǒng)。表1顯示了默認(rèn)邏輯刪除生存時間。升級活動目錄并不改變活動目錄林的邏輯刪除生存時間。
|
表 1：新活動目錄林的默認(rèn)邏輯刪除生存時間 |
|
|
第一個域控制器的操作系統(tǒng) |
邏輯刪除生存時間 |
|
Windows 2000 |
60天 |
|
Windows 2003 |
180天 |
|
Windows 2003 R2 |
60天 |
|
Server 2008 |
180天 |
|
Server 2008 R2 |
180天 |
表1：新活動目錄林的默認(rèn)邏輯刪除生存時間
有時，在每個域控制器上會運行名為垃圾收集的后臺進(jìn)行。垃圾收集進(jìn)程（又叫垃圾收集器）會搜索數(shù)據(jù)庫，查找存留期比活動目錄林的邏輯刪除生存時間更久的邏輯刪除對象，然后將它們從活動目錄數(shù)據(jù)庫刪除出去。
直到某個邏輯刪除對象被垃圾收集器清除后，才可以使用名為邏輯刪除恢復(fù)（tombstone reanimation）的過程來恢復(fù)對象。恢復(fù)邏輯刪除對象時，只能恢復(fù)在邏輯刪除過程中保留的幾個屬性。比如說，為用戶對象保留的屬性包括用戶的SID、SID歷史和用戶名（sAMAccountName）。注意：該列表不包括一些屬性，比如用戶的密碼、組成員關(guān)系或用戶身份信息（如姓名和部門）。只要修改模式中每個屬性定義的searchFlags屬性，就可以控制列表含有對象被邏輯刪除后保留的屬性。你想添加多少屬性，就可以添加多少。不過，無法添加鏈接屬性，比如組成員關(guān)系或含有用戶郵箱的郵箱數(shù)據(jù)庫。想了解如何修改searchFlags屬性，請參閱MSDN網(wǎng)頁“Search-Flags屬性”（http://msdn.microsoft.com/en-us/library/ms679765%28VS.85%29.aspx）。
在Server 2008 R2活動目錄功能級別（FFL）層面運行的活動目錄林中，你可以啟用一項名為活動目錄回收站的新特性。如圖2所示，活動目錄回收站在對象被刪除時與被邏輯刪除時之間添加了一個中間狀態(tài)。當(dāng)對象處于這個新的刪除狀態(tài)時，被隱藏起來，不出現(xiàn)在搜索結(jié)果中，但它的所有屬性（包括組成員關(guān)系等鏈接屬性）都保留下來。
圖2：活動目錄回收站啟用后，活動目錄對象的生存時間
可以使用用來恢復(fù)邏輯刪除對象的同一個過程，將刪除對象階段的對象恢復(fù)到刪除時的精確狀態(tài)。默認(rèn)情況下，對象留在刪除對象階段的時間與活動目錄林的邏輯刪除生存時間一樣長，如表1所概述的那樣。只要修改活動目錄林的msDS-deletedObjectLifetime屬性，就可以更改這個時間段。
刪除對象生存時間到期后，垃圾收集器將對象移到回收對象階段。回收對象的功能相當(dāng)于邏輯刪除對象，不過有一個重要區(qū)別：你無法恢復(fù)回收對象，也無法從備份來還原。#p#
對象恢復(fù)機制
由于不同版本的活動目錄日趨成熟，恢復(fù)刪除對象的機制大有完善。在Windows 2000中，恢復(fù)刪除對象的唯一辦法是從備份來執(zhí)行強制性還原（authoritative restore）。Windows 2003引入了邏輯刪除恢復(fù)的概念，這樣不需要從備份來還原，就可以恢復(fù)刪除對象的部分拷貝。Server 2008 R2則添加了活動目錄回收站，這樣不需要還原，就可以完全恢復(fù)刪除對象。
值得一提的是，活動目錄備份（以及IFM介質(zhì)）的擱置時間與邏輯刪除生存時間一樣。如果啟用了活動目錄回收站，擱置時間是刪除對象生存時間或回收對象生存時間中較短的那個。比如說，如果刪除對象生存時間是180天，回收對象生存時間是60天，那么擱置時間是60天。因而，不可能從時間比其中一個都久遠(yuǎn)的備份來還原刪除對象。
強制性還原
需要從備份恢復(fù)一個對象或一組對象時，強制性還原過程常常是個辦法。如果你之前想域控制器的F8啟動菜單上的目錄服務(wù)還原模式（DSRM）選項有啥用，現(xiàn)在可以選擇這個選項來進(jìn)行強制性還原。在DSRM模式下啟動時，活動目錄從不開啟，數(shù)據(jù)庫處于離線狀態(tài)。你可以在啟動進(jìn)入到DSRM模式的同時，從備份還原活動目錄數(shù)據(jù)庫，然后使用Ntdsutil選擇需要還原的對象。注意：禁止了Server 2008及以后版本的域控制器上的活動目錄NTDS服務(wù)后，就無法進(jìn)行還原。
進(jìn)行強制性還原時，活動目錄提高了還原對象的內(nèi)部版本號。這確保域控制器可重新使用后，那些對象復(fù)制到了域的其余部分，還原后版本變成了全局有效。
進(jìn)行強制性還原常常是為了恢復(fù)含有大量對象（如用戶、用戶組、計算機及其他組織單元）的組織單元（OU）。假設(shè)你不小心刪除了contoso.com域中的Executives OU。為了還原該OU及里面的一切對象，需要采取下面幾個步驟：
1. 啟動進(jìn)入到DSRM模式，用你在Dcpromo期間設(shè)置的DSRM密碼來登錄。
2. 還原不小心刪除前創(chuàng)建的系統(tǒng)狀態(tài)備份。不要重啟。（許多人常犯這錯誤，面臨壓力時更會犯）。
3. 開啟命令提示符窗口，運行Ntdsutil。
4. 運行命令：
authoritative restore
5. 運行命令：
restore subtree
OU=Executives,DC=contoso,DC=com
（雖然該命令在這里換了行，但要把它們?nèi)枯斎氲揭恍猩稀Ｆ渌麚Q行的命令也是如此。）
6. 檢查并核實確認(rèn)安全提示符。然后，你會收到像圖3所示的消息。記下文本和生成的LDAP數(shù)據(jù)交換格式（LDIF）文件。
圖3：表明強制性還原成功的消息。
7. 重啟域控制器，進(jìn)入到正常的操作模式。
8. 登錄到域控制器，打開命令提示符窗口。運行下列命令，導(dǎo)入第6步期間導(dǎo)出的LDIF文件：
ldifde -i -f ar_20110221-151131_links_contoso.com.ldf
這會導(dǎo)入還原對象的鏈接屬性值（如組成員關(guān)系）。
如果你只需要還原一個對象（如刪除的計算機對象），可以使用restore object命令，而不是使用第5步中的restore subtree命令。如果你的活動目錄林含有多個域，就要使用第6步中導(dǎo)出的文本文件，為其他域中的域本地組還原組成員關(guān)系。
恢復(fù)邏輯刪除
有許多工具可以用來恢復(fù)邏輯刪除對象，但它們最終都執(zhí)行同樣的步驟。所以這里舉個例子，表明使用AdRestore實用工具來恢復(fù)名為John Doe的刪除用戶需要哪些步驟：
1. 打開命令提示符窗口，用下列命令搜索該用戶
adrestore Doe
AdRestore會搜索刪除對象，查找與*doe*匹配的任何對象，并返回輸出結(jié)果，如圖4所示。
圖4：AdRestore實用工具的示例輸出
2. 確保找到了想要恢復(fù)的對象，然后再次運行AdRestore，使用-r參數(shù)選項：
adrestore -r Doe
3.確認(rèn)問你是否想恢復(fù)該對象的提示。然后，AdRestore會把該對象恢復(fù)到之前所在的位置。
如前所述，邏輯刪除對象被刪除后失去了大部分屬性。所以，你得重新添加許多屬性，讓恢復(fù)后的對象再度有用。（一般來說，如果你使用身份自動管理工具，邏輯刪除對象被恢復(fù)后，屬性會自動重新添加上去。）
活動目錄回收站的刪除恢復(fù)
活動目錄回收站無疑是最佳的恢復(fù)選項，因為可以還原所有屬性，包括組成員關(guān)系等鏈接屬性。不過如前所述，你的活動目錄林需要在Windows Server 2008 R2 FFL層面運行，才能利用這個選項。
只要運行下面這樣的命令，就可以使用Windows PowerShell來啟用活動目錄回收站。
Enable-ADOptionalFeature -Identity 'CN=Recycle Bin Feature, CN=Optional Features, CN=Directory Service, CN=Windows NT,CN=Services, CN=Configuration,DC=contoso,DC=com' -Scope ForestOrConfigurationSet -Target 'contoso.com'
注意：啟用活動目錄回收站不是一個可逆轉(zhuǎn)的步驟。此外，啟用活動目錄回收站時已經(jīng)被邏輯操作的對象無法再通過邏輯刪除恢復(fù)來恢復(fù)。
你啟用了活動目錄回收站后，之后刪除的任何對象都可以在活動目錄林的刪除對象生存時間內(nèi)完全恢復(fù)。有許多辦法來恢復(fù)刪除對象，但最容易的辦法是使用PowerShell的Restore-ADObject cmdlet。比如說，下面是恢復(fù)刪除名為John Doe的用戶的幾個步驟：
1.從Start（開始）菜單的Administrative Tools（管理工具）部分啟動Windows PowerShell活動目錄模塊。
2. 運行下列命令，搜索刪除用戶：
Get-ADObject -SearchBase "CN=Deleted Objects,DC=contoso,DC=com" -ldapFilter:"(msDs-lastKnownRDN=John Doe)" -IncludeDeletedObjects -Properties lastKnownParent
確保它是結(jié)果集中返回的唯一對象。
3. 用下列命令還原該對象：
Get-ADObject -SearchBase "CN=Deleted Objects,DC=contoso,DC=com" -ldapFilter:"(msDs-lastKnownRDN=John Doe)" -IncludeDeletedObjects -Properties lastKnownParent | Restore-ADObject
如果你刪除了整個組織單元（OU），就要按正確的順序來恢復(fù)對象（也就是說，某個對象在父對象恢復(fù)之前是無法恢復(fù)的），以便它們可以恢復(fù)到原來所屬的位置。微軟發(fā)布了恢復(fù)刪除對象樹的PowerShell腳本（http://technet.microsoft.com/en-us/library/dd379504%28WS.10%29.aspx），你可以用來執(zhí)行這項任務(wù)。
復(fù)雜的任務(wù)
為活動目錄災(zāi)難作規(guī)則是項復(fù)雜的任務(wù)，因為可能許多部分會出錯。不過，如果你知道如何從出現(xiàn)故障的域控制器和不小心刪除對象或整棵對象樹（如OU）恢復(fù)過來，那么完全為災(zāi)難作好了防備。
【51CTO精選譯文 轉(zhuǎn)載請標(biāo)明出處與作者】
【編輯推薦】
