域控制器活动目录之备份与恢复

在域构架网络中，域控制器是多么的重要，所以一台域控制器的崩溃对于网络管理员而言，无疑是一场恶梦，那么活动目录应该如何来备份和恢复呢?在这里我将详细的为大家讲一下这个问题，我们一般把活动目录的备份和恢复分成两种情况:
　　
　　1、 整个网络中有且仅有一台域控制器;
　　
　　首先，本人并不成赞成网络中存在这种情况，也就是说网络中最好是存在两台或两台以上的域控制器，当然有些朋友可能会说:买服务器你给钱啊?我先声明:我没钱。而且现在的老板都很精哟，一般是能用就行，至于坏了怎么办?那当然是网络管理员来想办法解决了，难道白给你工资啊?所以有些网络中的确存在着只有一台域控制器的现象，那么对于这种情况，备份是必不可少的了，而且建议备份到网络上，别备份到本地计算机上，因为备份在本地的话，万一服务器的硬盘烧毁，那么你的备份也会随之而去，这样的话和没有备份没什么区别。那么，怎么备份?我们要用到Windows 2003自带的备份工具Ntbackup。点击“开始-运行”，输入:“Ntbackup”回车，也可以点击“开始-程序-附件-备份”，其实是一回事，我们就可以看到如下的画面:
　　

　

　　点击我用箭头指出的“高级模式”:
　　

　

　　再点击用红框标出的“备份向导(高级)”，这时会出现一个备份向导:
　　

　

　　在这里请大家注意，直接点“取消”，这样可以进入备份工具控制器，以便有更多的可以自定义的项目:
　　

　

　　在这里，需要提醒大家的是，如果你只是想备份活动目录的话，那么你只需要备份一下系统状态就可以了。但本人强烈建议:最好再做一个整个C盘的备份!以防止丢失一些其它的数据。在这里，我为了节省时间，就仅仅备份一下系统数据了:
　　

　

　　在上图的左下角，“备份媒体或文件名”里可以选择备份的路径，并且支持网络备份的。
　　
　　选择好备份文件的存放路径后，就可以点击“开始备份”了:
　　

　

　　点击“开始备份”后，会出现如下画面:
　　

　

　　在上面的选项中，点击“计划”，系统会提示你“保存当前备份设置”，保存完成后，会出现下面的画面:
　　

　

　　在这里要输入正确的具有管理员权限的帐号和密码才可以，输入后点“确定”，就会出现一个“计划的作业选项”:
　　

　

　　点击上述画面中的“属性”:
　　

　

　　在这里，可以设置计划作业，以方便系统以后自动按照计划进行备份，就不用一次次的手动备份了。设置完成后，就回到了刚刚的画面:
　　

　

　　这次点击“高级”:
　　

　

　　在这里，可选择一些如数据备份完成后验证其完整性之类的选项，这个大家可以根据需要进行选择，主要向大家简单介绍一下五个备份类型:
　　
　　正常:备份所有选择的文件夹和文件，不依赖于任何标记，但会清除标记
　　副本:备份所有选择的文件夹和文件，不依赖于任何标记，但不会清除标记
　　增量:只备份选择的且有标记的文件夹和文件，但是会清除标记;
　　差异:只备份选择的且有标记的文件夹和文件，且不清除标记;
　　每日:以天为单位，每天发生变化的文件都会被备份;
　　
　　这五种备份类型具体如何应用，如何配合使用，请大家结合自己的实际情况决定。配置好这些备份参数以后，就可以进行备份操作了:
　　

　

　　整个备份时间还是比较长的，大约要20分钟左右，当然具体还要根据你的系统中的数据量来决定性的，在我这个实验环境里10分钟不到就OK了。备份完成后，我们可以在备份目录下找到这个备份文件，其大小为:537M。
　　

　

　有人可能会问，一个活动目录至于有这么多的数据吗?其实如果你刚刚注意备份时候显示的信息的话，那么你就会知道，其实这个备份包括了三样东西:BOOT信息、活动目录信息、及System32文件夹下的所有文件，最大的就是那个System32文件夹，所以537M就不足为奇了。OK，备份完成了。那么万一域控制器发生损坏后该如何恢复呢?接下来就看这个了，首先你得重新安装操作系统，在我这里由于用的是虚拟机，所以我只要把前面的更改删除就可以了。嘿嘿，用虚机就是有这种好处，什么时候物理机也可以这样就好了。然后在开机的时候按F8:
　　

　

　　在这里，我们要选择，第七项:“目录服务还原模式(只用于Windows域控制器)”，真不知道这句话是微软找谁来翻译的，我觉得括号里的文字应该翻译成:“只用于恢复Windows域控制器”才比较合适，这句话不知道害过多少人，我就见过不少网络管理员是先把服务器提升为域控制器，然后再执行恢复操作，其实大家难道忘记了，我们刚刚备份的文件里有活动目录信息的。
　　
　　在Windows的登陆窗口，如果你的服务器只是成员服务器，那么请输入本地管理员的密码，如果是域控制器，请输入还原密码。什么?还原密码是什么?看看我的第一篇文章吧。
　　
　　继续点击“开始-运行”，输入“Ntbackup”，并回车:
　　

　　这回可别再选择备份向导了，要用“还原向导(高级)”:
　　

　

　　点“下一步”，出来如下画面:
　　

　

　　在“文件”上击右键:
　　

　

　　点击“文件编录”:
　　

　

　　输入备份文件所在的位置，然后确定:
　　

　

　　然后点击“下一步”:
　　

　

　　在上述画面中确认无误的话，就可以点击“完成”了:
　　

　

　　在出来的警告窗口上点击“确定”:
　　

　

　　这个画面和备份的画面差不多吧?几分种后就可以完成，完成后，系统会要求你重新启动计算机。重启后，你就会发现这台成员服务器已经变成域控制器了，并且和以前的一模一样。
　　

　

　　2、 多域控制器环境下的活动目录恢复
　　
　　可能看到这个标题有人就会问，怎么一上来就讲恢复啊?不用备份吗?是的，如果仅仅是活动目录信息的确是不用备份的。为什么?大家还记得我在前面的文章中提到过，从Windows 2000域开始，采用的是多宿主复制的机构，也就是所有的活动目录修改都会被复制到所有的域控制器上，所以是不需要备份的。只要看一下怎么恢复就可以了。
　　
　　先来说明一下实验环境:
　　
　　域名:demo.com
　　
　　第一台域控制器:
　　
　　计算机名:server.demo.com
　　
　　IP:192.168.5.1
　　
　　子网掩码:255.255.255.0
　　
　　DNS:192.168.5.1
　　
　　并且FSMO五种角色及GC全部在第一台域控上。
　　
　　第二台域控制器:
　　
　　计算机名:test20031.demo.com
　　
　　IP:192.168.5.2
　　
　　子网掩码:255.255.255.0
　　
　　DNS:192.168.5.2
　　
　　灾难情况:第一台域控制器由于硬件原因，导致无法启动。
　　
　　这时我们会发现下面的客户端虽然还可以利用本地缓存进行登陆，但已经无法再利用域资源了，我们的目的就是要让第二台额外域控制器来接替第一台的工作，也就是说把FSMO和GC全部转移到额外域控制器上来。这里要分成两步:
　　
　　一、首先，要把第一台域控制器的所有信息从活动目录里面删除:
　　
　　(1)、点击“开始-运行”，输入:“cmd”并回车，在命令提示符下输入:“ntdsutil”，然后回车，如果你不是很清楚“ntdsutil”的使用方法，可以用“?”然后回车的方法来调用使用说明:
　　

　

　　

 

在这里我们要选择“Metadata cleanup ----清理不使用的服务器的对象”然后依次输入下面的命令:　　

　　然后我们要显示一下Site中的域:
　　

　
　　结果找到两个，其中“1”是我建的子域，所以这里要先择“0”:

 

　　通过上面的信息，我们可以看到两个服务器，其中SERVER是我们要删除的，因为它已经DOWN机了。所以这里要选择“0”:
　　

　

　

选中后，按“q”退出到上一层菜单:　

　　

在上图中点击“是”:
　　

　

然后再按2个“q”退出。
　　

　　(2)、使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中欲删除服务器对象，
　　
　　ADSI EDIT在SUPPORT TOOLS工具包里，打开后，找到如下位置:　　

　　击右键，然后选“删除”就可以了。

　　
　　(3)、在“管理工具”里，打开“AD站点和服务”，找到如下位置:　　

　

　　把复制连接也删除了:

　　

　

　　以上有几个删除几个。
　　

　　二、把FSMO角色强行夺取过来。这里又要用到“Ntdsutil”了:
　　
　　我们先要连接到目标服务器上:　　

1. 单击“开始”，单击“运行”，在“打开”框中键入 ntdsutil，然后单击“确定”。 
2. 键入 roles      (管理NTDS角色所有者令牌)，然后按 Enter。

注意：要在 Ntdsutil 实用工具中的任一提示符处查看可用命令的列表，请键入 ?，然后按 Enter。

3. 键入 connections，然后按 Enter。

 

4. 键入 connect to server servername，然后按 Enter，其中 servername 是要赋予其 FSMO 角色的域控制器的名称。 这里是：test20031

　

连接成功后，按“q”退出到上层菜单，并且看一下帮助信息:
　　

　

　　请注意:这里有两种方法分别是Seize和Transfer，如果原来的FSMO角色的拥有者处于离线状态，那么就要用Seize，如果处于联机状态，那么就要用Transfer。在这里由于SERVER已经离线了，所以要用“Seize”:
　　

　

　　这里是夺取PDC角色的图示，点“是”，其它角色的也是一样的操作，最后退出。
　　
　　大家了为安全起见，可以运行一下我上次给转给大家的脚本:
　　

　

　　由上图可见，所有的FSMO已经转移到TEST20031服务器上了。最后就是把GC转移过来:
　　
　　在“管理工具”里，打开“AD站点和服务”，找到如下位置:　

　

　　

在“属性”上单击:
　　

　

　　在“全局编录”前打外勾，然后确定退出就可以了。
　　
　　最后到客户端去修改一下DNS服务器的位置，就可以发现客户端又可以正常登陆了。而且所有的域资源又可以正常使用。最后请大家注意以下几点:
　　
　　1、 在单域控环境中，请尽量的多备份，以保证备份有效性，最好几种备份类型结合使用。
　　
　　2、 在多域控环境中，如果用Seize，那么那台坏掉的服务器在重装系统以前请不要回到网络中来，哪怕是已经修好了，也一定要重新安装操作系统，为什么?因为FSMO角色具有唯一性，如果此时回到网络中，那就会出现FSMO角色重复的现象。
　　
　　3、 在多域控环境中，那台坏域控修复后，重装系统，请尽量不要再使用原来的计算机名，以防止产生一些莫名其妙的问题，就让那台服务器在网络里永远消失吧!

本文出自 51CTO.COM技术博客

 

 

------------------------------------------------------------------------------------------------------

如果在DC损坏的时候，那么当前这个域就不能正常工作了，如果出现了这样的问题该如何解决？

首先应该在域中创建至少两个DC，默认DC会将刚才提到的五种操作主机集于一身，如果损坏或者重新安装操作系统的话，那么就需要操作主机的角色转移或抓取了。

转移：transfer ,旧的DC如果还能正常工作或还能启动的情况下我们的操作可以用转移，转移可以在图形化和命令行下完成，转移后，旧的DC就可以重新安装操作系统了。

抓取：seize,抓取是指旧的DC已经不能正常工作，或已经不能启动，那么带给网络管理员的麻烦是，域中的某些计算机已经不能正常登陆到域中，此时需要使用强迫抓取，将五种操作主机都强制到可用的DC上

使用命令完成操作：
ntdsutil 进入ntds工具提示符
roles 调整操作主机角色
connections 进入连接模式
connect to server "DC名" 连接到可用DC上
quit 返回上层菜单
transfer pdc （或其他） 进行转移或抓取
quit 退出

在企业中会遇到DC损坏时，往往DC也是DNS服务器，那么意味着DNS服务器也损坏了，需要在创建额外DC时同时再创建一个额外的DNS（不是辅助的），在DNS创建时一定要选择“与AD集成的区域”，少等片刻DNS的数据就自动的复制到额外的DNS中了，这样DNS损坏时，也不用担心了