栏目导航: 首页 > 安全防御 > 灾难恢复 > 内容

AD灾难恢复情景及方案

www.hx99.net    时间: 2014-12-04    阅读: 次     整理: 华西安全网

  AD作为企业IT基础架构管理的核心,其重要程度不言而喻。能够对AD灾难恢复场景进行冷静的对待及气定神闲的处理,无疑是揽大厦之将倾的重要功劳,也是对一位系统管理员的极大考验。
  本文将结合诸多项目经验及AD的理论基础,分享AD管理中可能遇到的灾难场景以及应对策略。声明一点,本文讨论的前提条件是至少有两台DC的合理的AD架构,如果因为只有一台DC,造成部份情况下不可挽回的灾难,请自备香火烧香拜佛。
  注:本文只讨论不同的AD灾难场景,及应对思路,并不涉及技术细节,望读者朋友们,以全局为重,多想多练,关于技术细节的实现,将另外介绍。
  1、场景一:误删除对象,有备份,但操作尚未通步至其他DC。
  如果异致对象丢失的操作发现及时,尚未同步至其他DC,此时能及时切断该DC与其他DC的联系,则可以将故障限制在一台DC 上,只需要恢复备份(要进入目录服务还原模式),然后正常开机联网,让它与其他DC同步数据,则可以恢复故障。
  2、场景二:误删除对象,有备份,操作已通步至其他DC。
  通常情况下,当我们发现AD对象损坏或丢失,都已经同步至其他DC,而此时,如果单纯的利用还原备份的方法,会导致失败。原因为:被删除的对象的数据并不是真正的被删除,而是有一个墓碑生存时间,而此时进行还原操作,还原后的DC是旧的未删除的对象,其他DC上面,是新的,已经被删除的对象,当数据同步时,按照后应用有效的原则,是会以被删除为准的,所以还原后的对象还是会被删除。
  此时,我们需要一种还原方法,叫做授权还原,简单说,就是将还原回来的对象的版本号人为的提高,将其强行改为最新的数据,使其同步时作为权威数据。
  授权还原的思路如下:
  进入目录服务还原模式,还原备份(注意:不要选择授权还原AD数据库,以免导致所有数据被还原到备份状态);
  还原成功后,不要重启DC,进入命令行工具,准备进行授权还原;
  命令及关键参数如下:ntdsutil/authoritative restore
  提示:一定要熟悉被还原对象的LDAP名称的语法。
  3、场景三:误删除对象,但无备份。
  对于无备份的对象还原,主要有两种解决方法:AD回收站和墓碑还原。
  对于林功能级别低于Windows 2008R2的环境,还原无备份的AD对象则只能通过墓碑还原来完成,默认情况下,被删除的对象,会成为Tombstone对象,而这类对象会被删除除登录名及SID以外的多数属性,包括密码,如果想要还原,则可以通过ldp.exe工具,修改如下两个属性即可:isdeleted、distinguishedname。
  如果林功能级别达到windows 2008R2,强烈建议开启AD回收站功能,这样可以非常容易的实现AD对象的无损还原,如果服务器是Windows 2008R2,则AD回收站需要在Windows Powershell 中完成,如果服务器是Windows 2012及以上版本,AD回收站可以在图形界面下完成,就如同桌面系统传统的回收站一样方便。
  关于AD回收站的几点注意事项:
  AD回收站一旦开启,则无法禁用;
  无法还原在AD回收站功能开启前,被删除的对象;
  需要林功能级别达到Windows 2008R2才可以开启该功能;
  开启AD回收站后,LDP工具则不可以再使用;
  AD回收站中的对象保留期限是180天。
  4、场景四:DC损坏。
  对于DC损坏,又无法快速修复的情况,可以考虑重建DC,但是原DC在数据中会成为垃圾数据,需要将其清理。
  可以使用命令ntdsutil来进行垃圾服务器对象清理,具体参数是metadatacleanup。如果清理的过程中,发现被清理对象是操作主机,则会弹出提示框,并可以直接迁移操作主机角色。

本文来源:华西安全网[http://www.hx99.net]
发表评论】【告诉QQ好友】【错误报告】【加入收藏】【关闭