Skip to main content

 路由器设置网 > 新闻资讯 >

AD灾难恢复情景及方案

2014-11-01 00:54 浏览:


【引子】

手机中熟悉的旋律响起,接起电话,传来的消息却让人很是不快:紧急故障,有客户处发生AD对象意外删除的灾难,共计百余计算机帐号被误删,涉及全国范围诸多生产系统,如不及时处理,将造成大范围业务瘫痪。

刻不容缓,马上“全副武装”直奔现场。经过几近通宵的鏖战,终于完成灾难恢复。

【思考】

AD作为企业IT基础架构管理的核心,其重要程度不言而喻。能够对AD灾难恢复场景进行冷静的对待及气定神闲的处理,无疑是揽大厦之将倾的重要功劳,也是对一位系统管理员的极大考验。

本文将结合诸多项目经验及AD的理论基础,分享AD管理中可能遇到的灾难场景以及应对策略。声明一点,本文讨论的前提条件是至少有两台DC的合理的AD架构,如果因为只有一台DC,造成部份情况下不可挽回的灾难,请自备香火烧香拜佛。

注:本文只讨论不同的AD灾难场景,及应对思路,并不涉及技术细节,望读者朋友们,以全局为重,多想多练,关于技术细节的实现,将另外介绍。

1、场景一:误删除对象,有备份,但操作尚未通步至其他DC

如果异致对象丢失的操作发现及时,尚未同步至其他DC,此时能及时切断该DC与其他DC的联系,则可以将故障限制在一台DC 上,只需要恢复备份(要进入目录服务还原模式),然后正常开机联网,让它与其他DC同步数据,则可以恢复故障。

2、场景二:误删除对象,有备份,操作已通步至其他DC

通常情况下,当我们发现AD对象损坏或丢失,都已经同步至其他DC,而此时,如果单纯的利用还原备份的方法,会导致失败。原因为:被删除的对象的数据并不是真正的被删除,而是有一个墓碑生存时间,而此时进行还原操作,还原后的DC是旧的未删除的对象,其他DC上面,是新的,已经被删除的对象,当数据同步时,按照后应用有效的原则,是会以被删除为准的,所以还原后的对象还是会被删除。

此时,我们需要一种还原方法,叫做授权还原,简单说,就是将还原回来的对象的版本号人为的提高,将其强行改为最新的数据,使其同步时作为权威数据。

授权还原的思路如下:

  • 进入目录服务还原模式,还原备份(注意:不要选择授权还原AD数据库,以免导致所有数据被还原到备份状态);

  • 还原成功后,不要重启DC,进入命令行工具,准备进行授权还原;

  • 命令及关键参数如下:ntdsutil/authoritative restore

  • 提示:一定要熟悉被还原对象的LDAP名称的语法。

3、场景三:误删除对象,但无备份。

对于无备份的对象还原,主要有两种解决方法:AD回收站和墓碑还原。

对于林功能级别低于Windows 2008R2的环境,还原无备份的AD对象则只能通过墓碑还原来完成,默认情况下,被删除的对象,会成为Tombstone对象,而这类对象会被删除除登录名及SID以外的多数属性,包括密码,如果想要还原,则可以通过ldp.exe工具,修改如下两个属性即可:isdeleteddistinguishedname

如果林功能级别达到windows 2008R2,强烈建议开启AD回收站功能,这样可以非常容易的实现AD对象的无损还原,如果服务器是Windows 2008R2,则AD回收站需要在Windows Powershell 中完成,如果服务器是Windows 2012及以上版本,AD回收站可以在图形界面下完成,就如同桌面系统传统的回收站一样方便。

关于AD回收站的几点注意事项:

 AD回收站一旦开启,则无法禁用;

 无法还原在AD回收站功能开启前,被删除的对象;

 需要林功能级别达到Windows 2008R2才可以开启该功能;

 开启AD回收站后,LDP工具则不可以再使用;

 AD回收站中的对象保留期限是180天。

4、场景四:DC损坏。

对于DC损坏,又无法快速修复的情况,可以考虑重建DC,但是原DC在数据中会成为垃圾数据,需要将其清理。

可以使用命令ntdsutil来进行垃圾服务器对象清理,具体参数是metadatacleanup。如果清理的过程中,发现被清理对象是操作主机,则会弹出提示框,并可以直接迁移操作主机角色。