活动目录的恢复策略WIN310.pptxVIP

WIN 310活动目录的恢复策略苏永锐Windows技术专家技术服务部微软有限公司本次议题的价值从还原了解备份的重要性和策略从各种灾难情况下恢复AD的最佳实践课程要求对以下工具的使用或概念都比较了解RepadminGPMCNtdsutilSystem Status backupRID，SID五个FSMO rolesGC,DC议程单台DC的恢复多台DC的恢复森林恢复对象恢复最佳备份实践总结单台DC的恢复问题描述因为AD错误或者硬件出错损失了DCAD信息变化产生后无法复制到其他DC上FSMO/GC/DNS角色的失效其他DC负荷的提高单台DC的恢复恢复方式方式 I: 使用该DC原有备份文件恢复DC使用DSRM模式启动OS或者重新安装OS使用备份文件还原系统重启机器方式 II: 升级为DC强制DC降级或者重新安装OS从其他旧DC上删除Metadata安装AD:通过复制自动完成从备份文件还原(只适用Windows Server 2003)获取FSMO的角色(如果需要的话)单台DC的恢复方式 I vs. 方式 II方式 I恢复速度比依靠复制的恢复要快需要的操作较少不需要dcpromo; 不需要清理metadata不要求获取FSMO的角色(除非机器已经出了问题很长时间)方式 II不需要对该DC有很好的备份，但需要有多台DC可适用于不同的硬件单台DC的恢复最佳实践保证即使有一台DC失去作用后，仍有足够的DC可以应付客户端的访问负荷保证可以快速访问到备份的媒体把最近的一个备份文件保存在磁盘保证有一个已经定义好并且已经经过维护人员预演过的恢复流程保证知道DSRM模式下的密码(或有OS的安装光盘)知道该机器担任了FSMO的哪个角色知道该机器安装了哪些应用和服务议程单台DC的恢复多台DC的恢复森林恢复对象恢复最佳备份实践总结多台DC恢复问题描述在一个domain里面失去了不止一台DC (潜在影响整个domain)物理站点由于突发事件，部分或全部被破坏掉(比如火灾)暂时性地失去某个站点的控制客户端需要去找其他DC（可能存在于其他站点）多台DC恢复恢复方式像单台DC的还原方式一样，只是做多次重复操作如果整个domain被彻底破坏，请执行下面的额外步骤进行恢复在还原操作中，需要把其中一台DC的SYSVOL设置为“primary”这样可以让SYSVOL的数据强制推送到其他DC把RID计数池的数值设置为一个大一点的数值让新的安全策略能得到新的SIDs多台DC恢复最佳实践提供冗余的DC保存整个domain的信息，并且这些DC不要都放在同一个物理区域对于每个domain，在不同的物理区域都要有多台DC（GC）的备份保存备份的地方最好可以是异地最好有相同硬件配置的可用机器做后备保证有一个可行的操作流程和一份企业AD环境的拷贝议程单台DC的恢复多台DC的恢复森林恢复对象恢复最佳备份实践总结森林恢复问题描述在这个森林里面的 每台 DC 都因为复制失败的问题而受到“影响”受影响的DC可以提供部分服务，甚至有些根本不能提供任何服务正常工作的森林CSales.CProduct.C发生灾难C一些错误被更新到机器中Sales.CProduct.C错误被复制X受影响的DCC错误被复制到其他 DC上XSales.CProduct.C错误被复制到其他站点X受影响的DCCXXXSales.CProduct.C错误通过复制在森林中蔓延XX受影响的DCCXXXXXSales.CProduct.C整个森林全部受影响XXXX受影响的DCCXXXXXXXXSales.CProduct.C森林恢复需要考虑的问题错误可以从受影响的DC复制到还原后的DC上，导致恢复失败在还原后的DC被放上网络前，不能关掉所有受影响的DC每个domain需要从备份中还原出一台可正常使用的DC，因为避免出现恢复后，无法使用，需要重新恢复的情况备份需要在每台还原的DC上成功进行测试多台DC会被独立启动必须保证在每台DC上还原后，都进行正确性测试森林恢复需要考虑的问题不能选择了一个有错误产生后进行的备份如果该AD集成了DNS，最好的备份就是，它也是一台DNS服务器还原至少一台GC，因为没有GC:用户和计算机无法正常获得认证无法安装DC无法安全的进行动态DNS更新MS Exchange无法正常提供服务还原一台GC可以被用于在稍后去清除那些旧有的对象受影响的森林XXXCXXXXXXXXSales.CProduct.C1. 校验备份XXXCXXXXXXXXSales.CProduct.C2. 选择一个最适合的备份XXXGCDNSCXXDNSXXXXXDCXDNSDCSales.CProduct.C3. 把该DC隔离开来准备还原XXGCXDNSCXXDNSXXXXXDNSXDCDCSales.CProduct.CXXGCXDNSCXX