AD灾难恢复
此文适用于异机恢复。
其实有两个及以上,或者不同站点的全局编录AD Server,基本就可以杜绝灾难恢复了。当FSMO坏了,直接夺取角色,再删除损坏的节点就好了。
前期准备:
1.备份介质
2.新的AD服务器,与备份的系统版本相同,服务角色相同,计算机名称相同,磁盘分区相同。
过程:
1.建立好新的AD服务器,把角色都装好,起个与备份一致的AD域,功能级别都要相同。
2.新AD进入目录还原模式,用windows Backup 或者第三方备份软件还原系统状态。
3.还原完成后重启AD。
4.重新登陆产生Temp Profile,执行以下操作:
1)打开注册表定位到以下路径:HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrentVersionProfileList
2)找到 s-1-5 开头的条目,其中有一个的 ProfileImagePath 值是Temp,删除这个条目,重启计算机。
5.打开CMD 输入 net share,看是否有 sysvol 和 netlogon 这俩共享没有的话执行以下操作:
1)停止 File Replication Service服务
2)打开注册表定位到以下路径:HKLMSYSTEMCurrentControlSetServicesNtfrsParametersBackup/RestoreProcess at Startup ,修改Burflags值为 D4
3)重启 File Replication Service服务
6.如果组策略无法打开,用dcgpofix /ignoreschema命令重置默认域策略。会导致所有组策略丢失。
7.若C:WindowsSYSVOLsysvol”域名“ 下面没有Policies和Scripts文件夹,则手动创建。
8.重启AD,看服务是否都能正常打开。
9.在新建的AD上进行FSMO夺取,若本来就是宿主就省略这步。cmd命令如下:
1)ntdsutil
2)rolse
3)connections
4)connect to server AD Server
5)quit
6)seize infrastructure master
7)seize naming master
8)seize PDC
9)seize rid master
10)seize schema master
10.清除损坏的DC,重复以下命令:
1)ntdsutil
2)metadata cleanup
3)connection
4)connect to server AD Server
5)quit
6)select operation target
7)list site
8)select site site_number
9)list domain in site
10)select domain domain_number
11)list server in site
12)select server server_number
13)quit
14)remove selected server
11.运行dcdiag 和netdiag,查看是否正常12.若服务都能正常使用,则新建一个AD加入该域,并提升为全局编录的域控,这样你就有一个健康的域控了。
13.在新建的第二个域控上运行以下命令夺取FSMO:
1)ntdsutil
2)rolse
3)connections
4)connections to server 新建的第二个AD Server
5)seize infrastructure master
6)seize naming master
7)seize PDC
8)seize rid master
9)seize schema master
14.将还原的AD降级为普通服务器,根据需求再新建DC。至此就完成了灾难恢复。