由于下面這兩個原因之一，Active Directory 常常需要災難恢復措施。
· 數(shù)據(jù)庫損壞
· 數(shù)據(jù)損壞
數(shù)據(jù)庫損壞
在本文檔中，我們假定數(shù)據(jù)庫是因為下列原因之一而損壞的：
磁盤損壞。
域控制器發(fā)生硬件故障，需要更換。
數(shù)據(jù)損壞
在本文檔中，我們假定數(shù)據(jù)是因為下列原因之一而損壞的：
· Active Directory 數(shù)據(jù)損壞，而這些數(shù)據(jù)已經(jīng)復制到其他的域控制器。
· 錯誤刪除 Active Directory 對象，而這些對象已經(jīng)復制到該域/目錄林的其他域控制器?，F(xiàn)在這些對象必須在 Active Directory 中恢復。
恢復 Active Directory
恢復 Active Directory 的方法有兩種。您可以重新安裝 Windows 2000，然后通過正常復制過程，重新導入 Active Directory。另外一種方法就是從備份恢復 Active Directory。第一種方法是將 Active Directory 根據(jù)其當前復本伙伴的情況恢復為當前狀態(tài)。第二種方法是將 Active Directory 恢復為前一個已知狀態(tài)（前次備份時的狀態(tài)）。
通過重新安裝和復制來恢復 Active Directory
您可以在受損的系統(tǒng)上重新安裝 Windows 2000 Server，把該服務器當作域控制器，然后在安裝 Active Directory時，讓正確信息自動復制，借此恢復域控制器。通過 WAN 來安裝 Active Directory，可能會大量消耗可用的 WAN 帶寬。如果 Active Directory 很大，還會耗費許多時間。若要解決這個問題，建議您在中央位置安裝新的域控制器，然后將它運送到遠程位置。
對于分支機構(gòu)環(huán)境來說，這可能不是很好的方法。因為它實質(zhì)上是在遠程位置安裝新的域控制器，替代出故障的副本。但這需要新的域控制器在 Active Directory 中作為域控制器升級過程的一部分來進行復制，會用很長時間。
接移和運送域控制器
在進行 Active Directory 部署作業(yè)時，許多單位都在中央位置安裝域控制器，待安裝完畢之后，再將它們運送到遠程位置。有關這一方法的詳細信息，請參閱《Active Directory 分支機構(gòu)規(guī)劃指南》第 5 章“規(guī)劃分支機構(gòu)環(huán)境的接移站點”。
從備份媒體恢復 Active Directory
您也可以從備份媒體恢復“系統(tǒng)狀態(tài)”數(shù)據(jù)，以恢復域控制器上的 Active Directory。這樣可恢復 Active Directory 和 Active Directory 所依賴的“系統(tǒng)狀態(tài)”組件。
當您從備份媒體恢復 Active Directory 時，請注意下列幾項：
· 如果域控制器計算機因為故障而被替換，或者網(wǎng)絡適配器已被換掉，您可能需要以手動方式重新配置網(wǎng)絡設置。
· 如果域控制器的硬件問題很嚴重，必須重新建立，則請務必確保磁盤卷的數(shù)目和大小必須大于或等于前一個系統(tǒng)。如果您必須從空的磁盤開始重建系統(tǒng)，請先把 Windows 2000 Server 安裝到與以前相同的磁盤上，按照在損壞的系統(tǒng)上的原樣重新創(chuàng)建分區(qū)和卷，然后再恢復 Active Directory。這意味著您手頭上有該服務器配置的文檔，才能重新創(chuàng)建它。
系統(tǒng)密鑰 (Syskey) 和 Active Directory 恢復過程
域控制器上有安全敏感信息，例如，進行域身份驗證所用的用戶密鑰副本。建議您最好將域控制器放置在物理安全地點，限制訪問權(quán)限。物理訪問域控制器會讓入侵者取得加密的密碼數(shù)據(jù)副本，用來進行脫機密碼攻擊。為了避免這種情況發(fā)生，Microsoft 提供了 Syskey 這個工具，它可以用 128 位的隨機密鑰，將所有的密鑰加密。這個密鑰可以存儲在域控制器的本地注冊表中，也可以存儲在軟盤上。為了保證最大程度的安全性，建議您將 Syskey 存儲在軟盤上。
將 Active Directory 恢復到不同的硬件上
您可以將 Active Directory 恢復到原計算機以外的計算機上，但是這部計算機的驅(qū)動器數(shù)量必須等于或多于原計算機的驅(qū)動器數(shù)量?！坝布橄髮印焙?Boot.ini 文件也必須完全一樣。同時，如果替換的域控制器有不同的視頻適配器或多個網(wǎng)卡，請先將它們卸下，再恢復數(shù)據(jù)。當您重新啟動計算機時，“即插即用”功能會進行相應的更新。
通常從備份媒體恢復 Active Directory 有下面兩種方法：
· 非權(quán)威性恢復
· 權(quán)威性恢復
非權(quán)威性恢復
在恢復 Active Directory 時，非權(quán)威性恢復是默認的方法。大部分的恢復情形都采用這種方法，例如域控制器硬盤故障時，而且此方法也是分支機構(gòu)最有可能選擇的方法。在這種情況下，Windows 2000 操作系統(tǒng)已經(jīng)完整地重新安裝完畢，包括 Service Pack 在內(nèi)。然后使用 Windows 2000“備份”工具，將 Active Directory 從備份媒體恢復到域控制器。
這樣就會將 Active Directory 恢復到域控制器上，其狀態(tài)與進行備份時一致。域控制器在正常 Active Directory 復制過程中，就會接收到自備份后所進行的任何目錄服務變更。
由于恢復過程不會將之前刪除的數(shù)據(jù)恢復到 Active Directory，因此稱之為非權(quán)威性。
使用 Windows 2000 備份工具進行非權(quán)威性恢復
在多種不同的情況下需要恢復 Active Directory。在某些情形中，域控制器可能因為操作系統(tǒng)故障或硬件故障而發(fā)生故障。而在另外一些情形中，域控制器上的 Active Directory 會出現(xiàn)故障、停止響應、或者受到損壞。出現(xiàn)這些情形時 Active Directory 恢復過程稍有差異，詳述如下：
這種情況下，整個計算機，包括操作系統(tǒng)和 Active Directory 在內(nèi)，都需要完全重新建立。
要將 Active Directory 恢復到發(fā)生故障的域控制器，步驟如下：
1. 在同一個域中狀態(tài)良好的域控制器中，單擊“開始”、“程序”、“管理工具”，然后再單擊“Active Directory 站點和服務”。
2. 在“Active Directory 站點和服務”中，導航到發(fā)生故障的域控制器所屬的站點上。
3. 刪除到發(fā)生故障的域控制器的任何引用。
4. 在要替代發(fā)生故障的服務器的計算機上，完整安裝適當版本的 Windows 2000 操作系統(tǒng)，包括必要的 Service Pack 在內(nèi)。
5. 在安裝 Windows 2000 Server 時，在出現(xiàn)提示時，將發(fā)生故障的域控制器名稱指定為計算機名稱。
6. 安裝之后，請確保含有 Active Directory 的備份媒體可以使用?；蛘?，將備份文件 (.bkf) 通過本地網(wǎng)絡復制到此計算機上。
7. 在“開始”菜單，單擊“運行”，然后鍵入 Ntbackup。
8. 在“歡迎”頁面上，單擊“恢復向?qū)А薄?nbsp;
9. 單擊“下一步”，選擇您要從中進行恢復的備份集。然后選“系統(tǒng)狀態(tài)”，再單擊“下一步”。
10. 單擊“完成”。
將 Active Directory 恢復到發(fā)生故障的 Active Directory 所在的域控制器
在此情形中，Windows 2000 Server 并沒有發(fā)生故障，相反, Active Directory 可能在域控制器上無法正常運行。這可能是因為 Active Directory 損壞、注冊表損壞，或是因為 Active Directory 一直依賴的一項服務發(fā)生故障所導致。這種情況并不需要重新安裝 Windows 2000 操作系統(tǒng)，而是需要從此域控制器的前一個備份恢復“系統(tǒng)狀態(tài)”，以確保 Active Directory 返至穩(wěn)定的運行狀態(tài)。
Active Directory 無法恢復到運行 Active Directory 的計算機上。如果要完成這個過程，必須將計算機置于目錄服務恢復模式下。在目錄服務恢復模式下，Windows 2000 操作系統(tǒng)雖在運行，但 Active Directory 卻是在脫機狀態(tài)。
如果要將 Active Directory 恢復到 Active Directory 發(fā)生故障的域控制器上，步驟如下：
1. 重新啟動該域控制器。
2. 在操作系統(tǒng)選擇菜單上，選擇您要啟動的操作系統(tǒng)，然后按 F8。
3. 在選擇菜單上，選擇“目錄服務恢復模式”，然后按 ENTER 鍵。
注意：當您在目錄服務恢復模式下重新開機時，必須以本地系統(tǒng)管理員的身份登錄到本地計算機。必須使用存儲在本地帳戶數(shù)據(jù)庫的帳戶名稱和密碼登錄，此數(shù)據(jù)庫稱為“安全帳戶管理器 (SAM)”數(shù)據(jù)庫。這是在運行“Active Directory 安裝向?qū)А睍r所提供的管理員用戶帳戶和密碼。您不能使用 Active Directory 管理員名稱和密碼，因為 Active Directory 是在脫機狀態(tài)，無法驗證帳戶。
4. 以該服務器的本地管理員帳戶作為用戶帳戶進行登錄。
5. 登錄之后，在“開始”菜單中單擊“運行”，然后鍵入 Ntbackup。
6. 在“歡迎”頁面上，單擊“恢復向?qū)А薄?nbsp;
7. 單擊“下一步”，選擇您要從中進行恢復的備份集，再選“系統(tǒng)狀態(tài)”，然后單擊“下一步”。
8. 單擊“完成”。
恢復過程完成之后，再以正常方式重新啟動域控制器。Active Directory 現(xiàn)在應該可以正常運行了。重新啟動之后，域控制器會將它自己重新插入到 Active Directory 復制拓樸當中，接受任何新的更新。
注意：恢復“系統(tǒng)狀態(tài)”數(shù)據(jù)時，系統(tǒng)根的位置必須與您在備份“系統(tǒng)狀態(tài)”數(shù)據(jù)時的位置一樣。
由于“備份”工具可以恢復數(shù)據(jù)庫和注冊表設置，因此當它恢復 Active Directory 時，Internet 協(xié)議 (IP) 配置也會一并恢復。此外，DNS、“證書服務”數(shù)據(jù)庫文件和“文件復制”服務 (FRS) 也會一并恢復?；謴妥鳂I(yè)完成之后，其結(jié)果如下：
o FRS 被重新設置，可以接受來自 FRS 復制伙伴的復制任務。
o Active Directory 得到驗證，可以進行恢復作業(yè)。
o 然后服務器在正常操作方式下重新啟動，并執(zhí)行下列動作：
o 檢查 Active Directory 文件的一致性，并且重新編制索引。
o 與 FRS 復制伙伴一起復制 FRS 數(shù)據(jù)。
o 恢復“證書服務”數(shù)據(jù)庫。
非權(quán)威性恢復的意義和注意事項
上述過程主要是針對 Active Directory 的非權(quán)威性恢復。但是，有些 Active Directory 對象（例如組織單位、域和站點）可能具有關聯(lián)的組策略，這些組策略存儲在 SYSVOL 目錄下。
SYSVOL 文件夾及其內(nèi)容復制到指定域的所有域控制器。與 Active Directory 不同的是，SYSVOL 使用“文件復制服務”(FRS)，在域控制器之間復制 SYSVOL 及其內(nèi)容。即使一個文件中只更改了少量的數(shù)據(jù),FRS 也會復制整個文件。
當域控制器從備份恢復之后，當前的 SYSVOL 就被視為過期。在恢復后重新啟動之時，整個 SYSVOL 就會從另一個域控制器復制過來。這在大量使用“組策略”的 Windows 2000 域或其他有大量登錄腳本的環(huán)境中，可能是一項非常大的作業(yè)。在遠程分支機構(gòu)的情形中，SYSVOL 復制作業(yè)可能非常耗時，具體取決于復制的數(shù)據(jù)量以及 WAN 上的可用帶寬。因此，建議您在下班時間或者在分支機構(gòu)與集線器的鏈接不忙時，再執(zhí)行這項作業(yè)。
權(quán)威性恢復
權(quán)威性恢復的主要目的，是將已經(jīng)從 Active Directory 刪除的對象“放回原處”或恢復。當對象被刪除時（不管是有意還是意外），一定要先完成非權(quán)威性恢復，才能執(zhí)行權(quán)威性恢復。Windows 2000“備份”工具用來執(zhí)行非權(quán)威性恢復，而 Ntdsutil.exe 則用于執(zhí)行權(quán)威性恢復并恢復被刪除的對象。
用非權(quán)威性恢復過程從舊版?zhèn)浞輬D象恢復刪除的對象是不可能的，因為恢復所用的備份媒體會含有一個在對象刪除前創(chuàng)建的 Active Directory 映像。當域控制器在恢復之后重新啟動時，會收到來源于復制伙伴的復制更新，這些復制更新含有備份之后所做的目錄服務變更，包括對象的刪除。這是因為被刪除的對象版本號高于備份媒體上的對象版本號。
權(quán)威性恢復過程的執(zhí)行方式如下：在非權(quán)威性恢復完成之后，但在域控制器重新啟動之前，權(quán)威性恢復過程可用來恢復所需的對象。這一動作會將對象標記為權(quán)威性，并將它們恢復到 Active Directory 中。其過程是，更改對象的元數(shù)據(jù)，以克服將版本號加上 100,000 時可能發(fā)生的復制沖突。權(quán)威性恢復動作是通過命令行工具 Ntdsutil 完成的。
注意：只有域和配置分區(qū)可以標為權(quán)威性。架構(gòu)不可以進行權(quán)威性恢復，因為這樣可能會危及數(shù)據(jù)的完整性。比方說，如果修訂架構(gòu)之后，創(chuàng)建了新的或經(jīng)過修訂的類架構(gòu)對象，那么后續(xù)的權(quán)威性恢復可能會替換新的或修訂的類，從而產(chǎn)生嚴重的數(shù)據(jù)不一致問題。
Ntdsutil 工具的權(quán)威性恢復功能不應該常用，因為它會將目錄恢復到一個較早的狀態(tài)，而從該時間點以后對此恢復對象所做的任何更新都會丟失。您可以使用權(quán)威性恢復,有選擇地修改子目錄樹、組織單位，甚至可以以域為單位有選擇地修改整個目錄林，但只有在已找出了具體問題，并且確定權(quán)威性恢復可將它修復時，才可以進行此類操作。,
本站僅提供存儲服務，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請
點擊舉報。
