การกู้คืนและซ่อมแซมตัวควบคุมโดเมนภายในเครื่องที่เสียหาย

เมื่อตัวควบคุมโดเมนเกิดความเสียหายหรือได้รับการกู้คืนอย่างไม่ถูกต้อง ความเสี่ยงที่ตามมานั้นมหาศาล: การเข้าสู่ระบบล้มเหลว นโยบายกลุ่ม (GPO) หยุดทำงาน และการจำลองข้อมูลล้มเหลวโดยแทบไม่มีเบาะแสใดๆข่าวดีก็คือ มีขั้นตอนที่ชัดเจนสำหรับการกู้คืน DC ทั้งแบบกายภาพหรือเสมือนจริง โดยมีเงื่อนไขว่าต้องปฏิบัติตามวิธีการสำรองข้อมูลและกู้คืนที่เป็นที่ยอมรับ

ในสภาพแวดล้อม Windows Server สมัยใหม่ การกู้คืนตัวควบคุมโดเมนต้องอาศัยความเข้าใจที่ดีเกี่ยวกับแนวคิดต่างๆ เช่น สถานะระบบ, การกู้คืนแบบมีอำนาจ/ไม่มีอำนาจ, SYSVOL, DFSR/FRS และการย้อนกลับ USNหากแก้ไขปัญหาเหล่านี้อย่างเร่งรีบหรือใช้เครื่องมือสร้างภาพที่ไม่เข้ากัน ผลที่ได้อาจเป็นความผิดปกติที่มองไม่เห็นจำนวนมากซึ่งยากต่อการวินิจฉัย

เหตุใดการปกป้องและกู้คืนตัวควบคุมโดเมนอย่างถูกต้องจึงมีความสำคัญอย่างยิ่ง

Active Directory คือหัวใจสำคัญของการตรวจสอบสิทธิ์และการอนุญาตในโดเมน Windowsระบบนี้จัดเก็บข้อมูลผู้ใช้ คอมพิวเตอร์ กลุ่ม ความสัมพันธ์ด้านความไว้วางใจ นโยบายกลุ่ม ใบรับรอง และองค์ประกอบสำคัญอื่นๆ ข้อมูลเหล่านี้ส่วนใหญ่อยู่ในฐานข้อมูล Ntds.ditรวมถึงไฟล์บันทึกและโฟลเดอร์ที่เกี่ยวข้อง ซิสวอลรวมถึงองค์ประกอบอื่นๆ ที่ประกอบกันเป็นสิ่งที่เรียกว่า “สถานะของระบบ”

สถานะของระบบประกอบด้วยข้อมูลต่างๆ ดังต่อไปนี้ ไฟล์บันทึกและข้อมูลของ Active Directory, รีจิสทรีของ Windows, ไดรฟ์ระบบ SYSVOL, ฐานข้อมูลใบรับรอง (ถ้ามี CA), เมตาเบสของ IIS, ไฟล์บูต และส่วนประกอบระบบปฏิบัติการที่ได้รับการป้องกันดังนั้น กลยุทธ์การรักษาความต่อเนื่องทางธุรกิจที่จริงจังใดๆ ก็ตาม จะต้องรวมถึงการสำรองข้อมูลสถานะระบบของศูนย์ข้อมูลแต่ละแห่งเป็นประจำ

เมื่อเกิดความเสียหายจริงกับฐานข้อมูล Active Directory ความล้มเหลวในการจำลองข้อมูลอย่างร้ายแรง หรือปัญหาเกี่ยวกับ การอนุญาตบน ซิสวอลตัวควบคุมโดเมนอาจหยุดประมวลผลคำสั่งค้นหา ไม่สามารถเริ่มต้นบริการ Active Directory หรือก่อให้เกิดข้อผิดพลาดต่อเนื่องไปทั่วทั้งฟอเรสต์ ในกรณีเหล่านี้ การกู้คืนสถานการณ์ที่รวดเร็วและถูกต้อง จะสร้างความแตกต่างระหว่างเหตุการณ์ร้ายแรงกับภัยพิบัติที่ยืดเยื้อ.

ก่อนที่จะพยายามกู้คืนข้อมูล จำเป็นอย่างยิ่งที่จะต้องแยกแยะความแตกต่างระหว่างปัญหาฐานข้อมูลที่แท้จริงกับความล้มเหลวทั่วไปที่เกิดขึ้นบ่อยครั้ง สาเหตุอาจมาจาก DNS, การเปลี่ยนแปลงเครือข่าย, ไฟร์วอลล์ หรือเส้นทางที่ถูกแก้ไขด้วยเครื่องมือต่างๆ เช่น คำสั่ง netshดังนั้น จึงควรตรวจสอบและตัดปัจจัยเหล่านี้ออกไปก่อนที่จะเข้าไปยุ่งเกี่ยวกับฐานข้อมูล AD

เครื่องมือพื้นฐานสำหรับการวินิจฉัยและการควบคุมการจำลองแบบ

ในกรณีที่พบอาการผิดปกติของข้อมูลหรือความล้มเหลวในการจำลองข้อมูล ขั้นตอนแรกที่ควรทำคือตรวจสอบสถานะของสภาพแวดล้อมโดยใช้เครื่องมือพื้นฐาน DCDiag, Repadmin, ReplMon (ในเวอร์ชันเก่า) และ Event Viewer พวกเขาคือพันธมิตรที่ดีที่สุดของคุณก่อนที่จะพิจารณาการฟื้นฟูที่รุนแรง

กับ DCDiag มีการตรวจสอบทั่วไปของตัวควบคุมโดเมนทั้งหมด เพื่อระบุปัญหาเกี่ยวกับการจำลองข้อมูล DNS บริการ AD DS เป็นต้น รีแพดมิน โปรแกรมนี้ช่วยให้คุณดูสถานะการจำลองข้อมูล คู่ค้าการจำลองข้อมูล ลายน้ำ USN และตรวจจับวัตถุถาวรได้ ใน Windows เวอร์ชันเก่ากว่า รีพลมอน มันแสดงภาพกราฟิกของข้อผิดพลาดในการจำลองข้อมูลภายในโดเมน

นอกเหนือจากเครื่องมือเหล่านี้แล้ว สิ่งสำคัญคือต้องตรวจสอบ Event Viewer สำหรับ "Directory Services" และ "DFS Replication" ด้วย เหตุการณ์ต่างๆ เช่น 467 และ 1018 ชี้ให้เห็นถึงความเสียหายที่เกิดขึ้นจริงในฐานข้อมูลในขณะที่เหตุการณ์ 1113/1115/1114/1116 เกี่ยวข้องกับการเปิดใช้งานหรือปิดใช้งานการจำลองข้อมูลขาเข้า/ขาออก

หากจำเป็นต้องแยก DC ที่ต้องสงสัยไว้ชั่วคราวเพื่อป้องกันการแพร่กระจายของการทุจริต เราสามารถทำได้ ปิดใช้งานการจำลองข้อมูลขาเข้าและขาออกด้วย Repadmin:

repadmin /options DCNAME +DISABLE_INBOUND_REPL
repadmin /options DCNAME +DISABLE_OUTBOUND_REPL

และเพื่อให้การจำลองข้อมูลกลับสู่สภาวะปกติ เพียงแค่ลบตัวเลือกเหล่านั้นออก:

repadmin /options DCNAME -DISABLE_INBOUND_REPL
repadmin /options DCNAME -DISABLE_OUTBOUND_REPL

รองรับการสำรองข้อมูลสถานะระบบบนตัวควบคุมโดเมน

เพื่อให้สามารถกู้คืน DC ได้อย่างมั่นใจ จำเป็นอย่างยิ่งที่จะต้องมี การสำรองข้อมูลสถานะระบบดำเนินการโดยใช้เครื่องมือที่เข้ากันได้กับ Active Directoryเครื่องมือเหล่านี้ใช้ API สำหรับการสำรองและกู้คืนข้อมูลของ Microsoft และบริการ Volume Shadow Copy Service (VSS) ในลักษณะที่ได้รับการสนับสนุน

หนึ่งในวิธีแก้ปัญหาที่พบได้บ่อยที่สุดคือ Windows Server Backup, โซลูชันจากบริษัทภายนอกที่ผสานรวมกับ VSS (เช่น NAKIVO, Backup Exec และอื่นๆ)หรือสาธารณูปโภคเก่าๆ เช่น Ntbackup ใน Windows 2000/2003 ในทุกกรณี ต้องเคารพ API ของ Active Directory เพื่อให้มั่นใจถึงความสอดคล้องของฐานข้อมูลและสำเนาหลังจากกู้คืน

Windows Server 2012 และเวอร์ชันที่ใหม่กว่า มีคุณสมบัติใหม่ที่สำคัญอย่างหนึ่งคือ: รหัสรุ่น (GenID) ของ Hyper-Vตัวระบุนี้ช่วยให้ตัวควบคุมโดเมนเสมือนตรวจจับได้ว่าดิสก์ของตนถูกย้อนกลับไปยังจุดเวลาในอดีต เมื่อเกิดเหตุการณ์นี้ขึ้น AD DS จะสร้าง InvocationID ใหม่และจัดการสถานการณ์เสมือนว่าได้กู้คืนจากข้อมูลสำรองที่สำเร็จแล้วแจ้งให้พาร์ทเนอร์การจำลองข้อมูลทราบ ซึ่งจะช่วยให้สามารถเขียนข้อมูลใหม่ได้อย่างปลอดภัยโดยไม่ต้องทำการย้อนกลับ USN

สิ่งสำคัญคือต้องเคารพ ตลอดชีวิตบนป้ายหลุมศพนี่แสดงให้เห็นว่าการสำรองข้อมูลสถานะระบบสามารถใช้งานได้นานแค่ไหนโดยไม่เสี่ยงต่อการนำวัตถุที่ถูกลบไปนานแล้วกลับมาใช้งานอีกครั้ง โดยทั่วไปแล้วจะอยู่ที่ 180 วันในเวอร์ชันใหม่ๆ และขอแนะนำให้ทำการสำรองข้อมูลอย่างน้อยทุก 90 วันเพื่อรักษาระยะเวลาปลอดภัยที่เพียงพอ

วิธีการที่ไม่ได้รับอนุญาตซึ่งทำให้เกิดการกลับทิศทางของ USN

หนึ่งในสาเหตุที่อันตรายที่สุดของการเกิดความไม่สอดคล้องกันโดยไม่รู้ตัวใน Active Directory คือ... การถอยกลับของกองทัพเรือสหรัฐฯสถานการณ์นี้เกิดขึ้นเมื่อมีการย้อนกลับเนื้อหาของฐานข้อมูล AD โดยใช้เทคนิคที่ไม่ได้รับการสนับสนุน โดยที่ไม่ได้กู้คืน InvocationID หรือแจ้งให้พาร์ทเนอร์การจำลองข้อมูลทราบ

สถานการณ์ทั่วไปคือการบูต DC จาก ภาพดิสก์ หรือภาพรวมของเครื่องเสมือนที่ถ่ายไว้ในอดีตโดยไม่ต้องใช้การกู้คืนระบบที่เข้ากันได้ หรือคัดลอกไฟล์ Ntds.dit โดยตรง ใช้โปรแกรมสร้างภาพดิสก์เช่น Ghost บูตจากมิเรอร์ดิสก์ที่เสียหาย หรือใช้สแนปช็อตการจัดเก็บข้อมูลใหม่ในระดับอาร์เรย์

ในกรณีเหล่านี้ ตัวควบคุมโดเมนจะยังคงใช้ InvocationID เดิม แต่... ตัวนับ USN ในพื้นที่กำลังถอยหลังDC ตัวอื่นๆ จำได้ว่าได้รับการเปลี่ยนแปลงไปจนถึง USN ระดับสูง ดังนั้นเมื่อ DC ที่ถูกย้อนกลับพยายามส่ง USN ที่ได้รับการยอมรับแล้วกลับไป คู่ค้าของพวกเขาเชื่อว่าพวกเขาทันสมัยแล้วและหยุดยอมรับการเปลี่ยนแปลงที่เป็นรูปธรรม.

ผลที่ได้คือ การปรับเปลี่ยนบางอย่าง (ตัวอย่างเช่น การสร้างผู้ใช้ การเปลี่ยนรหัสผ่าน การลงทะเบียนอุปกรณ์ การเปลี่ยนแปลงสมาชิกกลุ่ม การสร้างระเบียน DNS ใหม่ข้อผิดพลาดเหล่านี้จะไม่เกิดขึ้นซ้ำในส่วนที่เหลือของเครือข่ายหลังจากกู้คืน DC แล้ว แต่เครื่องมือตรวจสอบอาจไม่แสดงข้อผิดพลาดที่ชัดเจน นี่คือความล้มเหลวเงียบๆ ที่อันตรายอย่างยิ่ง

เพื่อตรวจจับสถานการณ์เหล่านี้ ไดรเวอร์ของ Windows Server 2003 SP1 และเวอร์ชันที่ใหม่กว่าจะบันทึกข้อมูลไว้ กิจกรรมบริการข้อมูลไดเร็กทอรี 2095 เมื่อตรวจพบว่า DC ระยะไกลส่ง USN ที่ได้รับการยืนยันแล้วโดยไม่มีการเปลี่ยนแปลง InvocationID ระบบจะทำงาน คำสั่งนี้จะกักกัน DC ที่ได้รับผลกระทบ หยุดการทำงานของ Netlogon ชั่วคราว และป้องกันไม่ให้เกิดการเปลี่ยนแปลงเพิ่มเติม ซึ่งไม่สามารถจำลองได้อย่างถูกต้อง

ในฐานะหลักฐานทางนิติวิทยาศาสตร์เพิ่มเติม มันสามารถช่วยได้ เพื่อตรวจสอบในทะเบียน กุญแจ HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters และมูลค่า ไม่สามารถเขียน DSA ได้หากมีการตั้งค่าค่านี้ (เช่น 0x4) แสดงว่า DC ถูกตั้งค่าให้อยู่ในสถานะห้ามเขียนโดยการตรวจจับการกลับขั้วของ USN การแก้ไขค่านี้ด้วยตนเองเพื่อ "แก้ไข" นั้นไม่ได้รับการสนับสนุนโดยสิ้นเชิง และทำให้ฐานข้อมูลอยู่ในสถานะที่ไม่สอดคล้องกันอย่างถาวร

กลยุทธ์ทั่วไปในกรณีที่ตัวควบคุมโดเมนเสียหายหรือเกิดการย้อนกลับ

ขั้นตอนที่ต้องปฏิบัติตามเมื่อพบ DC ที่เสียหายหรือกู้คืนไม่ถูกต้องนั้นขึ้นอยู่กับหลายปัจจัย: จำนวนตัวควบคุมโดเมนในโดเมน/ฟอเรสต์ ความพร้อมใช้งานของสำเนาสถานะระบบที่ถูกต้อง การมีอยู่ของบทบาทอื่นๆ (FSMO, CA, แคตตาล็อกส่วนกลาง) และขอบเขตเวลาของปัญหา.

หากมี DC ที่มีสุขภาพดีอื่นๆ ในบริเวณนั้น และ ไม่มีข้อมูลสำคัญเฉพาะใดๆ บนตัวควบคุมโดเมนที่เสียหายโดยปกติแล้ว วิธีที่รวดเร็วและสะอาดที่สุดคือการลบตัวควบคุมโดเมนนั้นทิ้งแล้วสร้างใหม่ อย่างไรก็ตาม หากเป็นตัวควบคุมโดเมนเพียงตัวเดียว หรือหากมีบทบาทและข้อมูลที่สำคัญ การกู้คืนอย่างระมัดระวังมากขึ้น (แบบมีอำนาจหรือแบบไม่มีอำนาจ) จะเป็นสิ่งจำเป็น

โดยทั่วไปแล้ว ตัวเลือกมีดังนี้:

• ลดระดับ DC ที่เสียหายลงอย่างรุนแรงและลบออกจากโดเมนตามด้วยการทำความสะอาดเมตาเดต้า และหากเหมาะสม ก็ทำการโปรโมตใหม่
• กู้คืนจากข้อมูลสำรองสถานะระบบที่ถูกต้องไม่ว่าจะอยู่ในโหมดที่มีอำนาจหรือไม่มีอำนาจก็ตาม
• สร้าง DC ใหม่จากแหล่งอื่นโดยใช้ IFM (ติดตั้งจากสื่อ)ในกรณีที่ไม่มีสำเนาล่าสุด แต่มี DC อื่นๆ ที่ถูกต้องอยู่
• การใช้สแนปช็อต VHD ของ DC เสมือนโดยดำเนินการตามขั้นตอนเพิ่มเติมเพื่อทำเครื่องหมายฐานข้อมูลว่าได้รับการกู้คืนจากข้อมูลสำรองแล้ว (ฐานข้อมูลได้รับการกู้คืนจากข้อมูลสำรอง = 1) และตรวจสอบให้แน่ใจว่ามีการสร้าง InvocationID ใหม่

หากสงสัยอย่างชัดเจนว่าเกิดการย้อนกลับของ USN (ตัวอย่างเช่น หลังจากกู้คืน VM จากสแนปช็อตโดยไม่ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุด) และเหตุการณ์ 2095 ปรากฏขึ้น แนวทางปฏิบัติที่เหมาะสมที่สุดมักจะเป็นดังนี้ ถอดอุปกรณ์ DC นั้นออกจากระบบ และอย่าพยายาม "ซ่อม" มันในสถานที่นั้นเว้นแต่ว่าจะสามารถย้อนกลับไปยังข้อมูลสำรองของสถานะระบบที่รองรับซึ่งสร้างขึ้นก่อนการย้อนกลับได้

การลดระดับตำแหน่งโดยบังคับและการล้างข้อมูลเมตา

เมื่อตัวควบคุมโดเมนเสียหายอย่างหนักจนไม่สามารถลดระดับได้ตามปกติ หรือได้รับการกู้คืนอย่างไม่ถูกต้อง และคุณต้องการป้องกันไม่ให้ปัญหาลุกลาม คุณสามารถใช้วิธีต่อไปนี้ได้ การลดตำแหน่งโดยบังคับ.

ในเวอร์ชันเก่า การดำเนินการนี้ทำได้ด้วย dcpromo /forceremoval, อะไร ลบสิทธิ์ AD DS โดยไม่ต้องพยายามจำลองการเปลี่ยนแปลงไปยังส่วนที่เหลือของฟอเรสต์ในสภาพแวดล้อมสมัยใหม่ ตัวช่วยสร้างอาจมีการเปลี่ยนแปลง แต่แนวคิดยังคงเหมือนเดิม คือ การลบ DC ที่มีปัญหาออกจากโครงสร้าง AD โดยไม่ให้มันมีส่วนร่วมในการจำลองข้อมูลต่อไป

หลังจากทำการดาวน์เกรดระบบโดยไม่ตั้งใจ จำเป็นต้องเรียกใช้คำสั่งจาก DC ที่ทำงานได้ปกติ การทำความสะอาดเมตาเดต้า โดยใช้เครื่องมือ เอ็นทีดีเอสยูทีกระบวนการนี้จะลบข้อมูลอ้างอิงทั้งหมดที่เกี่ยวข้องกับ DC ที่ถูกลบ (เช่น อ็อบเจ็กต์การตั้งค่า NTDS, ข้อมูลอ้างอิง DNS เป็นต้น) ออกจากฐานข้อมูล AD เพื่อให้ ไม่มี "ร่องรอยผี" หลงเหลืออยู่ที่จะทำให้การจำลองแบบสับสน.

หากคอนโทรลเลอร์ที่เสื่อมสภาพมีบทบาท FSMO (เช่น PDC Emulator, RID Master, Schema Master เป็นต้น) จะต้องดำเนินการดังต่อไปนี้ โอนย้ายหรือเข้ายึดครองบทบาทเหล่านั้น ไปยัง DC อื่นก่อนหรือหลังการลดระดับ ขึ้นอยู่กับสถานการณ์ ต่อมา สามารถติดตั้งระบบปฏิบัติการใหม่บนเซิร์ฟเวอร์นั้น และสามารถเลื่อนระดับกลับเป็น DC ที่สะอาดได้

การกู้คืนแบบไม่ได้รับอนุญาตเทียบกับการกู้คืนแบบได้รับอนุญาตใน Active Directory

เมื่อมีสำเนาสถานะระบบที่ถูกต้อง การกู้คืน AD สามารถทำได้สองวิธี: ไม่มีอำนาจและมีอำนาจการเข้าใจความแตกต่างเป็นสิ่งสำคัญที่จะช่วยให้ไม่พลาดการเปลี่ยนแปลงล่าสุดหรือนำข้อมูลที่ล้าสมัยมาใช้ซ้ำ

ในหนึ่ง การบูรณะที่ไม่ได้รับอนุญาตค่า DC จะถูกส่งกลับไปยังจุดก่อนหน้า แต่เมื่อเริ่มแล้ว ตัวควบคุมโดเมนอื่นๆ ถือเป็นตัวอ้างอิงกล่าวอีกนัยหนึ่ง หลังจากเริ่มต้นระบบแล้ว DC ที่ได้รับการกู้คืนจะร้องขอการจำลองข้อมูลขาเข้าและอัปเดตฐานข้อมูลด้วยการเปลี่ยนแปลงที่ขาดหายไปจาก DC อื่นๆ ตัวเลือกนี้เหมาะอย่างยิ่งเมื่อ ยังมีตัวควบคุมการทำงานที่ปกติอื่นๆ อีก และเราต้องการให้ตัวควบคุมที่ได้รับการฟื้นฟูนั้นสามารถทำงานได้อย่างมีประสิทธิภาพเทียบเท่ากับตัวควบคุมเหล่านั้น.

ในหนึ่ง การฟื้นฟูอำนาจเผด็จการอย่างไรก็ตาม มีการระบุไว้อย่างชัดเจนว่า ข้อมูลที่ได้รับการกู้คืนแล้วต่างหากที่ควรได้รับการยอมรับ เหนือกว่า DC อื่นๆ หมายความว่า หลังจากกู้คืนแล้ว วัตถุที่กู้คืนจะมีหมายเลขเวอร์ชันที่สูงกว่า เพื่อบังคับให้มีการจำลองข้อมูลจาก DC นั้นไปยังส่วนที่เหลือของโดเมน นี่เป็นทางเลือกที่เหมาะสมเมื่อ เราอาจลบวัตถุหรือหน่วยองค์กร (OU) โดยไม่ได้ตั้งใจ หรือเราต้องการกู้คืนเนื้อหาของ SYSVOL และ GPO กลับสู่สถานะก่อนหน้าและทำการจำลองข้อมูล.

รายละเอียดที่สำคัญคือ การกู้คืนข้อมูลอย่างถูกต้องนั้นไม่จำเป็นต้องครอบคลุมทั้งฐานข้อมูลเสมอไป ด้วยเครื่องมืออำนวยความสะดวกนี้ เอ็นทีดีเอสยูที สามารถกำหนดให้วัตถุแต่ละชิ้น โครงสร้างย่อย (เช่น หน่วยองค์กร หรือ OU) หรือโดเมนทั้งหมดเป็นแหล่งข้อมูลหลักได้ ซึ่งจะเพิ่มความยืดหยุ่นอย่างมาก เช่น ในการใช้งานเพื่อวัตถุประสงค์ต่างๆ ดึงข้อมูลเฉพาะผู้ใช้ กลุ่ม หน่วยองค์กร (OU) หรือโครงสร้างย่อย dc=mycompany,dc=local เท่านั้น.

ขั้นตอนทั่วไปในการกู้คืนสถานะระบบในศูนย์ข้อมูล

หลักการพื้นฐานในการกู้คืนสถานะของระบบ DC (ไม่ว่าจะเป็นแบบกายภาพหรือเสมือน) ด้วยเครื่องมือที่เข้ากันได้นั้นมักจะคล้ายคลึงกันเสมอ: บูตเข้าสู่โหมดการกู้คืนบริการไดเร็กทอรี (DSRM) กู้คืนโดยใช้เครื่องมือสำรองข้อมูล และรีสตาร์ทเครื่อง.

โดยสรุป ขั้นตอนทั่วไปสำหรับการสร้างตัวควบคุมโดเมนเสมือนมีดังนี้:

1. เริ่มเครื่องเสมือนใน Windows Boot Manager (โดยปกติจะทำได้โดยการกดปุ่ม F5/F8 ระหว่างการเริ่มต้นระบบ) หากเครื่องเสมือน (VM) ถูกจัดการโดยไฮเปอร์ไวเซอร์ อาจจำเป็นต้องหยุดเครื่องชั่วคราวเพื่อบันทึกการกดแป้นพิมพ์
2. ในตัวเลือกการบูตขั้นสูง ให้เลือก โหมดการกู้คืนบริการไดเร็กทอรี (โหมดการกู้คืนบริการไดเร็กทอรี) โหมดนี้จะเริ่มต้นเซิร์ฟเวอร์โดยไม่เชื่อมต่อฐานข้อมูล Active Directory ในลักษณะที่ใช้งานได้จริง
3. เข้าสู่ระบบด้วยบัญชีผู้ดูแลระบบ DSRM กำหนดไว้ในระหว่างการโปรโมต DC ครั้งแรก (ไม่ใช่ด้วยบัญชีผู้ดูแลระบบโดเมนมาตรฐาน)
4. เรียกใช้เครื่องมือสำรองข้อมูล ใช้โปรแกรมสำรองข้อมูล (เช่น Windows Server Backup, NAKIVO หรือโปรแกรมที่เข้ากันได้) และเลือกกู้คืนสถานะระบบไปยังจุดสำรองข้อมูลที่ต้องการ
5. ทำตามขั้นตอนตัวช่วยการกู้คืนให้เสร็จสมบูรณ์ และ รีสตาร์ท DC ในโหมดปกติในการกู้คืนแบบไม่ใช้อำนาจควบคุม เซิร์ฟเวอร์จะเริ่มต้นการจำลองข้อมูลเพื่อตามให้ทัน DC อื่นๆ

เมื่อเราพูดถึงผลิตภัณฑ์สำรองข้อมูลจากผู้ให้บริการภายนอก เช่น การสำรองข้อมูลและการจำลองแบบของ NAKIVOโหมด "รับรู้แอป" ของมันสามารถจดจำได้ว่าเครื่องที่กำลังกู้คืนนั้นเป็น DC และ ปรับกระบวนการโดยอัตโนมัติเพื่อรักษาความสอดคล้องของ ADในสถานการณ์ส่วนใหญ่ที่มีคอนโทรลเลอร์หลายตัว การกู้คืนระบบอย่างสมบูรณ์ในโหมดที่ไม่ต้องใช้อำนาจควบคุมก็เพียงพอแล้ว

การฟื้นฟูที่เชื่อถือได้ด้วย Ntdsutil

หากคุณต้องการให้การเปลี่ยนแปลงบนตัวควบคุมโดเมนที่กู้คืนมีผลเหนือกว่าส่วนที่เหลือ คุณต้องเพิ่มขั้นตอนพิเศษหลังจากทำการกู้คืนแบบไม่ใช้อำนาจหลัก: ใช้ Ntdsutil เพื่อทำเครื่องหมายวัตถุว่าเป็นวัตถุที่มีอำนาจ.

ขั้นตอนแบบย่อจะเป็นดังนี้:

1. กู้คืนสถานะของระบบด้วยวิธีมาตรฐาน และปล่อยให้เซิร์ฟเวอร์ยังคงอยู่ในสถานะเดิม โหมด DSRM (อย่าเพิ่งรีสตาร์ทในโหมดปกติ)
2. เปิด หน้าต่างคำสั่งพร้อมสิทธิ์ผู้ดูแลระบบ และเรียกใช้ ntdsutil.
3. เปิดใช้งานอินสแตนซ์ AD ด้วย เปิดใช้งานอินสแตนซ์ ntds.
4. เข้าสู่บริบทของการฟื้นฟูที่มีอำนาจด้วย การกู้คืนที่มีอำนาจ.
5. ใช้คำสั่งเช่น restore object <DN_objeto> o restore subtree <DN_subarbol>โดยที่ DN คือชื่อที่ระบุเฉพาะของวัตถุหรือโครงสร้างย่อยที่จะได้รับการกู้คืนอย่างเป็นทางการ
6. ยืนยันการทำธุรกรรม และเมื่อเสร็จสิ้นแล้ว รีสตาร์ท DC ในโหมดปกติ เพื่อให้วัตถุที่ถูกทำเครื่องหมายไว้ได้รับการจำลองแบบด้วยลำดับความสำคัญเหนือวัตถุอื่นๆ ในโดเมน

การบูรณะประเภทนี้ต้องใช้ความระมัดระวังอย่างยิ่ง หากโดเมนทั้งหมดได้รับการกู้คืนอย่างถูกต้องแล้ว และข้อมูลสำรองนั้นเก่าเกินไปมีความเสี่ยงที่จะสูญเสียการเปลี่ยนแปลงที่ถูกต้องตามกฎหมายซึ่งเกิดขึ้นหลังจากการสำรองข้อมูล (เช่น การสร้างผู้ใช้ การเปลี่ยนรหัสผ่าน หรือการแก้ไขกลุ่ม) ดังนั้น จึงเป็นเรื่องปกติที่จะจำกัดการกู้คืนข้อมูลหลักให้เหลือเฉพาะวัตถุหรือโครงสร้างที่จำเป็นอย่างยิ่งเท่านั้น

การฟื้นฟูและการกู้คืน SYSVOL (FRS เทียบกับ DFSR)

SYSVOL เป็นส่วนประกอบสำคัญของตัวควบคุมโดเมน: มันจัดเก็บสคริปต์เริ่มต้นระบบ นโยบายกลุ่ม เทมเพลตความปลอดภัย และทรัพยากรที่ใช้ร่วมกันที่สำคัญอื่นๆความผิดพลาดในเรื่องสิทธิ์การเข้าถึง ไฟล์เสียหาย หรือปัญหาในการจำลองข้อมูล อาจทำให้ GPO ใช้งานไม่ได้ หรือทำให้เครื่องลูกข่ายทำงานผิดปกติได้

ขึ้นอยู่กับเวอร์ชันของ Windows Server และสถานะการย้ายข้อมูล SYSVOL อาจถูกจำลองโดย FRS (บริการจำลองไฟล์) หรือโดย DFSR (การจำลองระบบไฟล์แบบกระจาย)ขั้นตอนการกู้คืน SYSVOL อย่างเป็นทางการจะแตกต่างกันไป ขึ้นอยู่กับว่ากำลังใช้ระบบใดในสองระบบนั้น

เพื่อตรวจสอบเรื่องนี้ คุณสามารถตรวจสอบคีย์ในรีจิสทรีได้ HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DFSR\Parameters\SysVols\Migrating Sysvols\LocalStateหากคีย์ย่อยนี้มีอยู่และค่าของมันคือ 3 (DELETED) แสดงว่ากำลังใช้ DFSR อยู่ หากไม่มีอยู่หรือค่าของมันแตกต่างออกไป แสดงว่าสภาพแวดล้อมนั้นยังคงใช้ FRS อยู่

ในสภาพแวดล้อมที่มี FRS การกู้คืน SYSVOL อย่างถูกต้องมักเกี่ยวข้องกับการปรับค่า เบอร์แฟลกส์ en HKLM\System\CurrentControlSet\Services\NtFrs\Parameters\Backup/Restore\Process กำหนดค่าเฉพาะ (เช่น 212 ในระบบเลขฐานสิบ / 0xD4 ในระบบเลขฐานสิบหก) เพื่อระบุว่า DC นี้เป็นแหล่งข้อมูลที่เชื่อถือได้

หาก SYSVOL ถูกจำลองโดย DFSR กระบวนการจะซับซ้อนขึ้นเล็กน้อย โดยเกี่ยวข้องกับการใช้ ADSIEdit เพื่อแก้ไขออบเจ็กต์การสมัครสมาชิก SYSVOL (แอตทริบิวต์) เปิดใช้งาน msDFSR y ตัวเลือก msDFSR) บน DC ที่มีอำนาจและบน DC อื่นๆ ให้บังคับการจำลอง AD แล้วดำเนินการ dfsrdiag pollad และยืนยันการปรากฏของในบันทึกเหตุการณ์ เหตุการณ์ที่ 4114, 4602, 4614 และ 4604 ซึ่งเป็นการรับรองว่า SYSVOL ได้รับการเริ่มต้นและจำลองอย่างถูกต้องแล้ว

การกู้คืนตัวควบคุมโดเมนเสมือนจากไฟล์ VHD

ในสภาพแวดล้อมเสมือนจริง การมีสิ่งเหล่านี้เป็นเรื่องปกติมาก ไฟล์ VHD/VHDX ของตัวควบคุมโดเมนหากคุณไม่มีการสำรองข้อมูลสถานะระบบ แต่มี VHD "เก่า" ที่ใช้งานได้ คุณสามารถเมานต์ DC ใหม่จากดิสก์นั้นได้ แต่คุณต้องทำอย่างระมัดระวังเพื่อหลีกเลี่ยงการทำให้ USN ย้อนกลับ

คำแนะนำคือ อย่าเริ่มใช้งานเครื่องเสมือน (VM) นั้นโดยตรงในโหมดปกติแต่คุณควรบูตจากไฟล์ VHD ก่อนหน้าแทน ดีเอสอาร์เอ็มเปิดโปรแกรมแก้ไขรีจิสทรีและไปยังตำแหน่งที่ระบุไว้ HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parametersในกรณีนั้น ควรตรวจสอบค่าดังกล่าว จำนวนการบูรณะฟันด้วย DSA ครั้งก่อน (ถ้ามีอยู่) และเหนือสิ่งอื่นใด ให้สร้างค่า DWORD (32 บิต) ใหม่ชื่อ ฐานข้อมูลได้รับการกู้คืนจากข้อมูลสำรองแล้ว มีค่าเท่ากับ 1.

เมื่อเลือกค่านี้ ระบบจะแจ้ง Active Directory ว่าฐานข้อมูลได้รับการกู้คืนจากข้อมูลสำรอง ซึ่งจะบังคับให้ดำเนินการบางอย่าง สร้าง InvocationID ใหม่เมื่อบูตเครื่องในโหมดปกติด้วยวิธีนี้ DC อื่นๆ จะตีความว่าเป็นอินสแตนซ์ใหม่และปรับค่าลายน้ำการจำลองแบบของตนอย่างถูกต้อง ซึ่งจะป้องกันการย้อนกลับของ USN

หลังจากรีสตาร์ท DC ในโหมดปกติแล้ว ขอแนะนำให้ตรวจสอบ Event Viewer โดยเฉพาะบันทึกเหตุการณ์ของ บริการไดเร็กทอรีกำลังมองหา เหตุการณ์ 1109เหตุการณ์นี้ยืนยันว่าแอตทริบิวต์ InvocationID ของเซิร์ฟเวอร์มีการเปลี่ยนแปลง และแสดงค่าเก่าและค่าใหม่ รวมถึง USN สูงสุด ณ เวลาที่ทำการสำรองข้อมูล นอกจากนี้ ค่าของ จำนวนการบูรณะฟันด้วย DSA ครั้งก่อน ควรเพิ่มขึ้นอีกหนึ่ง

หากเหตุการณ์เหล่านี้ไม่ปรากฏขึ้น หรือจำนวนไม่เพิ่มขึ้น คุณควรตรวจสอบเวอร์ชันระบบปฏิบัติการและ Service Pack เนื่องจาก พฤติกรรมการฟื้นตัวบางอย่างขึ้นอยู่กับพื้นที่เฉพาะบางแห่งไม่ว่าในกรณีใด แนะนำให้ทำงานบนสำเนาของไฟล์ VHD ต้นฉบับเสมอ โดยเก็บเวอร์ชันที่สมบูรณ์ไว้เผื่อกรณีที่จำเป็นต้องทำกระบวนการนี้ซ้ำ

ตัวอย่างสถานการณ์จริงและคำแนะนำเพิ่มเติม

ในทางปฏิบัติ ปัญหาการทุจริตหรือการบูรณะที่ไม่ถูกต้องมักปรากฏให้เห็นในชีวิตประจำวัน: การแก้ไขสิทธิ์ใน SYSVOL ด้วยตนเอง การพยายามอัปเดตเทมเพลต ADMX/ADML การเปลี่ยนแปลง GPO ที่ไม่ได้รับการจำลองเป็นต้น การแก้ไขโฟลเดอร์ที่แชร์ด้วยตนเองอาจทำให้เกิดความไม่สอดคล้องกันได้ง่าย เช่น SYSVOL\Policies โดยไม่คำนึงถึงการจำลองแบบ

ในกรณีที่ DC หลักมีการจำลองข้อมูลที่เสียหาย (ทั้งข้อมูล AD และ SYSVOL) และมีข้อความตรวจสอบประเภท “ฐานข้อมูลได้รับการกู้คืนโดยใช้ขั้นตอนที่ไม่ได้รับการสนับสนุน สาเหตุที่เป็นไปได้: การย้อนกลับของ USNดังนั้น สิ่งที่ควรทำอย่างรอบคอบคือ:

• ตรวจสอบกับ กระแสตรง y รีแพดมิน ขอบเขตของข้อผิดพลาดและว่ามี “วัตถุที่คงอยู่” หรือไม่
• ตรวจสอบเหตุการณ์ 2095 และค่าของมัน ไม่สามารถเขียน DSA ได้ ในทะเบียน
• ประเมินความเป็นไปได้ ลบ DC นั้นออกแล้วสร้างใหม่ (หากมี DC ที่มีสุขภาพดีอื่นๆ อีกสามคนขึ้นไป ตัวเลือกนี้มักจะเป็นตัวเลือกที่ดีที่สุด)
• ถ้าเป็น DC หรือนักวิจารณ์เพียงคนเดียว ให้ยกประเด็นขึ้นมา การกู้คืนสถานะระบบ จากไฟล์สำรองที่เข้ากันได้ ซึ่งควรเป็นไฟล์ล่าสุดและอยู่ในช่วงเวลาที่กำหนดไว้

ในโดเมนที่มีคอนโทรลเลอร์หลายตัว ขอแนะนำอย่างยิ่งให้ DC เหล่านั้นมีความ "บริสุทธิ์" มากที่สุดเท่าที่จะเป็นไปได้: โดยไม่มีบทบาทเพิ่มเติมหรือข้อมูลผู้ใช้ในพื้นที่ด้วยวิธีนี้ หากเครื่องใดเครื่องหนึ่งล้มเหลวหรือเสียหาย ก็สามารถฟอร์แมตและโปรโมตเครื่องใหม่ได้โดยอ้างอิงจาก DC อื่น หรือผ่านทาง IFM ซึ่งจะช่วยลดความซับซ้อนในการกู้คืนได้อย่างมาก

นอกจากนี้ เราควรระลึกถึงข้อจำกัดต่างๆ เช่นกัน สำเนาสถานะระบบจะมีผลใช้ได้เฉพาะในช่วงเวลาที่ระบบถูกฝังไว้เท่านั้น (60, 90, 180 วัน ขึ้นอยู่กับการตั้งค่า) เพื่อหลีกเลี่ยงการกู้คืนวัตถุที่ถูกลบ และเพื่อให้คีย์เครื่อง NTLM เปลี่ยนทุก 7 วัน ในการกู้คืนข้อมูลเก่ามาก อาจจำเป็นต้อง รีเซ็ตบัญชีทีม ปัญหาจาก “Active Directory Users and Computers” หรือแม้กระทั่งการลบและการเชื่อมต่อคอมพิวเตอร์เหล่านั้นกลับเข้าสู่โดเมนอีกครั้ง

การมีขั้นตอนในการสำรองข้อมูลสถานะของระบบอย่างสม่ำเสมอ จัดทำเอกสารเกี่ยวกับบทบาทของ FSMO, แคตตาล็อกทั่วโลก และโครงสร้างการจำลองแบบอย่างชัดเจนและการทดสอบขั้นตอนการกู้คืนในสภาพแวดล้อมห้องปฏิบัติการเป็นการลงทุนด้านเวลาที่จะช่วยลดปัญหามากมายเมื่อถึงวันที่ตัวควบคุมโดเมนเสียหาย หรือมีคนทำการสร้างสแนปช็อตโดยไม่คิดให้รอบคอบ