第十一章 活动目录的维护

第十一章活动目录的维护

内容摘要

本章重点介绍Windows2000活动目录数据的存储过程和维护方法。重点包括：

? 活动目录数据的备份和恢复

? 活动目录数据的优化

? 活动目录的维护程序

考点提示

? 活动目录的授权恢复和非授权恢复

? 管理活动目录对象移动的程序：Movetree

? Ntdsutil.exe的应用

11．1 活动目录维护简介

造成Windows2000活动目录故障的原因很多，后果也不完全相同，如系统不能启动，不能登录，网络访问和网络验证出现故障等。当活动目录出现故障时，首先应查找可能引起故障的原因，然后根据掌握的资源情况，制定修复策略，对活动目录进行修复。

11．2 活动目录数据的维护

Windows2000活动目录将数据存储在一个事物数据库和日志文件中，对活动目录数据进行维护可以在系统出现故障时，如硬盘损坏或者软件系统崩溃而导致数据丢失时，对数据进行有效的恢复。活动目录数据维护的关键在于对活动目录数据库和日志文件进行有效的维护。

Windows2000服务器对活动目录数据提供如下的维护方法：

? 备份和恢复。使用Windows2000自带的备份工具可以对活动目录数据库进行备份和恢复。活动目录数据库在Windows2000中是整个系统数据的一部分。

? 移动。Windows2000服务器支持将活动目录数据库从一个地方移动到另一个地方，注意移动一个活动目录数据库文件后，原文件并不会自动删除，而是继续存在，这儿的移动和复制有一些相似。

? 碎片整理。频繁的数据库访问会造成磁盘空间利用率下降。碎片整理可以重新排列数据库中的数据，回收可以利用的磁盘空间。

11．2．1 活动目录数据的存储过程

Windows2000活动目录使用可扩展的存储引擎(ESE)对数据进行存储。ESE应用事务和日志的概念将数据存储在数据库和事务日志文件中。所谓事务（Transaction），是指系统作为一个不可分割的整体进行处理的更改、添加、删除等操作的集合。

活动目录数据存储的基本过程如下：

1、为数据库更改创建一个事务

2、向日志文件中写入事务

3、将事务写入内存缓冲区

4、将更改在系统空闲的时候写入数据库

5、更改指向日志中未写入数据库的数据项的指针。

由上述存储过程可以看出，系统向数据库中写入数据之前首先要向日志中添加相应的事务日志。然后再对数据库文件做更改。这样能够保证在数据库更改失败的情况下根据事先记录的日志数据对数据库文件进行还原。

由于日志文件和数据库文件在更改过程中存在一个时间差，日志文件更改在前，因而日志文件中的更改往往比数据库中的新。

11．2．2 活动目录数据库的存储文件

在ESE存储数据的过程中，使用到的文件包括：

? 数据库文件(Database Files)。活动目录数据库文件的文件名是Ntds.dit，存储路径是：%Systemroot%＼NTDS。Ntds.dit中包含活动目录的所有信息。

事务日志文件（Transaction log files）。事务日志文件存储提交到数据库的事务。

事务日志的文件的文件名为Edb.log，大小默认限制为10M。如果超过10M，系统会

重新创建一个日志文件，原有的日志文件更名为Edb*****.log,*****表示从1开始

递增的一个数字。

Windows2000默认使用的日志文件在提交到数据库后不会马上清空，直到备份后才清空。这样，当活动目录数据库不能访问，而日志和备份存在的情况下，系统能够将数据库内容恢复到最新状态。如果管理员使用了循环（Circular Logging）日志，系统最多允许同时存在四个日志文件，如果日志容量继续增加，则覆盖最早的日志文件。

校验点文件(Checkpoint Files)。校验点文件(Checkpoint Files)是一个指针文件，指针指明事务日志中已经提交到活动目录数据库的事务。每一次事务从日志提交到数据

库文件，指针会自动指向下一个没有提交的事物。

在系统出现故障后，校验点文件提供数据恢复点信息。例如，由于电源故障系统关闭时没有将日志中的记录写入数据库文件，在下次系统启动时校验点文件自动将没有提交的数据写入对应的数据库文件。检验点文件(Checkpoint Files)的文件名是Edb.chk。

保留日志文件(Reserved Log files)。当运行过程中硬盘空间不够，不能创建新的日志文件时，系统会向保留日志文件(Reserved Log file)中写入事务数据，随后发出警报

并关机。正常情况下保留日志文件(Reserved Log file)并不存储数据，只是占据着一

定的硬盘空间，在空间不够时使用。保留日志文件(Reserved Log file)共有两个，名

称分别为：res1.log和res2.log。

11．2．3 活动目录数据的优化

随着访问和更改的增加，如果对活动目录数据库不加以维护，数据库文件的访问性能会不断下降。Windows2000为此提供了一系列优化方法。这些优化方法属于标准的数据库优化方法，与SQL Server和Exchange Server的数据库优化方法基本相同。

活动目录数据库优化方法包括垃圾整理（Garbage Collection）、数据库碎片整理（Database Defragment）和其它一些离线数据库文件优化程序。

1、垃圾整理（Garbage Collection）

讲解垃圾整理（Garbage Collection）之前，首先要介绍一个墓碑（Tombstone）的概念。

墓碑（Tombstone）是一个对象被删除的标识。活动目录中的对象存储后会被复制到多个域控制器中，在多个域控制器中存在多个副本。当一个副本被删除后，其它的副本会被复制回来。因此，Windows2000活动目录删除一个对象不是简单地将这个对象直接从数据库中清除，而是在这个对象上作一个被删除的标识，这个标识会不断地复制到多个域控制器中，

做过标识的对象系统认为与被删除等同，不再处理和复制。

经过足够长的时间，系统中被删除对象的所有副本都会有被删除的标识。系统设置一个期限，称为墓碑生命期（Tombstone Lifetime）。超过墓碑生命期（Tombstone Lifetime）的墓碑被认为是过期的墓碑（Expired Tombstone）。根据网络复制速度，墓碑生命期（Tombstone Lifetime）可以调整，默认值是60天。

垃圾整理（Garbage Collection）是Windows2000活动目录的一个进程，它负责周期性收集过期的墓碑，将它们从数据库中彻底清除。如果将过期的墓碑当作垃圾的话，垃圾整理（Garbage Collection）就是一个定期收集垃圾的应用程序。

2、数据库碎片整理（Database Defragment）

活动目录数据库使用一段时间后,随着新增数据和删除数据的增多,数据库文件中会

产生很多碎片,也就是本来应该连续的数据被分割存储.这样系统在搜索活动目录对象过程中搜索范围增加,显著影响系统性能。为克服由数据库碎片产生的问题,Windows2000引入数据库碎片整理程序以清除碎片。

数据库碎片整理（Database Defragment）将不连续的数据写到连续的空间中以提高系统性能。经过数据库碎片整理（Database Defragment）后，记录再被更新后将写到活动目录数据库的最大的连续空间中。

数据库碎片整理（Database Defragment）可以在线维护，也可以离线维护。

在线数据库碎片整理（Database Defragment）。

在线数据库碎片整理（Online Database Defragment）是指数据库正常使用状态下进行维护。在线数据库碎片整理（Online Database Defragment）虽然不必终止系统工作，但维护工作对系统性能有负面影响，因此维护周期不能太短，而且最好在系统工作负载最小的时间进行。默认状态下系统每隔12小时自动进行一次在线维护。

在线数据库碎片整理（Online Database Defragment）不减少数据库文件大小，但可以优化数据库性能，并为存储对象整理出更好的存储空间。

离线数据库碎片整理（Offline Database Defragment）。

离线数据库碎片整理（Offline Database Defragment）是指在活动目录数据库不在使用的情况下进行维护。因此，进行数据库碎片整理（Database Defragment）之前，首先要终止活动目录的工作。终止活动目录的工作通过使系统进入目录服务恢复模式完成。

在目录服务恢复模式状态下，系统基本功能正常工作，但活动目录相关服务不启动。

活动目录数据库终止工作后，可以使用命令行程序ntdsutil.exe对活动目录数据库进行整理。离线数据库碎片整理（Database Defragment）彻底重新整理数据库中的全部数据，并创建一个新的经过压缩的数据库文件。经过数据库碎片整理（Database Defragment）后的活动目录数据库文件可能比原文件小很多。

3、Ntdsutil.exe应用程序的使用。

Ntdsutil.exe是一个系统提供的用于活动目录管理的命令行工具。Ntdsutil.exe的功能很多，使用Ntdsutil.exe可以对活动目录数据库文件进行维护，如数据库文件的修复、检查、压缩、移动和转储等；可以在活动目录中列出站点、域和服务器信息；还可以管理操作主机，执行验证恢复，创建域等。

默认情况下，Ntdsutil.exe在Windows2000安装好后自动存在于%Systemroot%＼System32目录中。

Ntdsutil.exe对活动目录数据库文件的维护需要在活动目录恢复模式下运行，在命令行首先执行Ntdsutil.exe，然后执行files选项，后面可以执行针对文件的系列命令选项。可以执

行的针对文件的相应开关包括：

Compact 文件压缩：将目录数据库文件进行压缩并存储到另外一个文件夹，将压缩后的新文件覆盖原有文件，删除新建文件，这样就减少了活动目录数据库文件占据的硬盘空间。

Info 显示活动目录数据库文件的信息：包括数据库文件的目录和文件大小，备份目录，工作目录，日志目录等。

Move 移动数据库文件和日志文件：将当前的活动目录数据库文件和日志文件移动到指定的文件夹中。移动目录数据库后，系统重新启动时将自动从新的路径调用活动目录数据文件。

Recovery 执行数据库软恢复：能够将写入日志但还没有提交到数据库的记录马上提交到数据库中，在系统不正常关机等情况下会产生一些没有提交到数据库的日志记录。

Repair 执行低级修复功能，一般情况下不建议使用，可能会导致活动目录正常数据的丢失。

Set Path 设置数据库路径，日志路径，和NTDS路径。

除了对文件的管理之外，Ntdsutil.exe还有如下功能选项：

? Domain Management：创建新的域，升级域控制器，指定操作主机等。

? Metadata Cleanup：清理活动目录中不使用的服务器对象。

? Security Account Management：管理安全帐户数据库

? Semantic Database Analysis：语法检查器

实验1 ：离线维护活动目录数据库

1、启动计算机，选择进入活动目录恢复模式。

2、命令行中执行Ntdsutil.exe。

3、执行files

4、执行Compact to :＼，对活动目录数据库进行压缩。

5、执行Move db to :＼，对活动目录数据库进行移动。

11．3 活动目录数据的备份与恢复

11．3．1 活动目录数据的备份

Windows2000提供了方便的方法，使活动目录的备份变得非常容易。Windows2000支持在线备份，使管理员可以在不终止活动目录正常工作的前提下对活动目录数据库进行备份。

由于活动目录备份的同时活动目录所依赖的系统数据也自动备份下来,所以事实上并不能对活动目录单独进行备份。在Windows2000中，管理员可以通过选择备份系统状态数据（System State Data）的方法备份活动目录数据。

域控制器中的系统状态数据（System State Data）内容包括：

活动目录数据：包括活动目录数据库文件和日志文件

SYSVOL共享文件夹中的数据：在SYSVOL共享文件夹中存储着组策略模板和登录脚本程序。

登记项（Registry）：登记项（Registry）中记录与计算机配置有关的数据

系统启动文件（System Startup Files）：系统启动文件（System Startup Files）是在Windows2000 Advanced Server启动过程中需要的文件。

类注册数据库（Class Registration Database）：类注册数据库（Class Registration Database）中存储相关服务应用程序的信息。

证书服务数据库（Certificate Service Database）：证书服务数据库（Certificate Service

Database）中存储Windows2000 Advanced Server用来验证用户身份的证书。

上述数据中活动目录数据和SYSVOL共享文件夹数据是域控制器所特有的。

如果要备份系统状态数据（System State Data），需要具有足够的权限，默认情况下，Administrators，Backup Operator，Server Operator组拥有备份的权限。

需要特别注意的是使用Windows2000自带的备份工具备份只能进行本地系统信息的备份，如果需要在一台域控制器上对所有的域控制器进行备份，需要第三方备份软件。

图11-1

实验2 ：备份系统状态数据和活动目录数据

1、打开备份向导。

2、选择备份系统状态数据（System State Data）

注意如果需要，可以使用备份中的计划功能使系统状态数据实现自动备份。

11．3．2 活动目录数据的恢复

由于硬件或软件失败，Windows 2000活动目录的数据可能被破坏。域控制器中活动目录数据受到损坏后系统不能正常启动。

为使域控制器恢复到损坏前的状态，需要对活动目录数据进行恢复。恢复活动目录数据的方法有两种。

第一种恢复方法是重装域控制器，并将这个域控制器加入到原来的域中。通过域控制器之间正常的目录复制过程，活动目录数据可以从现有正常工作的域控制器复制到新建的域控制器。这种方法的优点是不需要为恢复做事前的设置，但必须保证网络中存在至少一个正常工作的域控制器。

第二种恢复方法是使用备份和恢复工具从事前的备份中恢复损坏的数据。这种方法不需要重装系统以及配置域控制器，但实现恢复的前提是事前对活动目录数据进行备份。

使用备份和恢复程序从备份中恢复活动目录有两种方法：非授权恢复方式

（Nonauthoritative Restore）和授权恢复方式（Authoritative Restore），两种方法都需要在离线（Offline）状态下进行。

1、授权恢复（Authoritative Restore）

执行授权恢复可以在网络中同时存在多个域控制器时恢复某一个域控制器上被误删除或者更改的活动目录对象。

当域中同时有多台域控制器时，系统对域的活动目录数据进行备份。假设使用一段时间后，系统活动目录损坏，需要进行恢复。从磁带中恢复的数据是一段时间前的数据，而在这段时间，活动目录对象做过一些其它的更改，在对象被恢复后，经过不同域控制器之间活动目录的复制过程，该对象最新的更改会从其它的域控制器中复制过来。这个过程可以使恢复的活动目录保持最新状态，但当特意要使一个对象恢复到一段时间前的状态时，就需要特别处理了。授权恢复可以将特定的对象恢复到备份时的状态。

授权恢复的原理是将备份中恢复过来的特定对象手工标识为最新，从而防止被其它域控制器中的对象副本覆盖。

活动目录数据库中的对象是根据对象的版本号（Version Number）判断的。对象的每次更改版本号自动加1，因此，版本号越高的对象越新。授权恢复（Authoritative Restore）根据备份与恢复时间间隔向被恢复对象分配一个新的版本号，规则是每间隔一天，版本号增加十万，这个数值足够保证恢复对象的版本号比当前网络中实际使用对象的版本号大得多。

由于被恢复的对象版本号高，因此会覆盖网络中所有该对象的副本，结果使该对象回复到备份时的状态。

当授权恢复容器对象时，容器中包含的所有对象也将被恢复。

进行授权恢复首先必须进行非授权恢复，然后再执行Ntdsutil.exe，选择Authoritative Restore，输入需要授权恢复的对象路径和名称。

注意：不能授权恢复活动目录的Schema数据。因此架构的更改不能使用授权恢复。

2、非授权恢复（Nonauthoritative Restore）

非授权恢复使活动目录数据恢复到它备份前的状态。

由于非授权恢复仅仅对数据进行恢复，当同时有多台域控制器的时候，对一台域控制器进行非授权恢复后，从其它域控制器中会向这台域控制器中复制备份后更改的记录，从而使被恢复的域控制器经过一段时间后，目录数据保持最新。

Windows2000中自带的备份程序能够执行活动目录的非授权恢复。

在恢复活动目录后，Windows 2000自动执行数据库一致性检查，重新对目录数据库进行索引，然后使用其它域控制器中的数据副本更新被恢复的活动目录对象和文件复制服务（FRS）。

图11-2

实验3 ：对Windows2000活动目录执行恢复

1、重新启动系统进入活动目录恢复模式。

2、打开Windows2000自带的备份程序。

3、选择恢复，重新启动计算机，完成非授权恢复。

4、重新启动系统进入活动目录恢复模式。

5、打开Windows2000自带的备份程序。

6、选择恢复，不重新启动计算机，使用Ntdsutil.exe对数据库进行授权处理。

7、重新启动计算机，完成授权恢复。

11．4 活动目录的支持工具

Windows2000中除了能够对活动目录进行正常管理、备份和恢复之外，还提供了很多支持工具，提供不同的功能。这些支持工具存储在Windows2000 Server安装光盘的

＼SUPPORT＼RESKIT 目录下。其中最常用的包括：Movetree.exe，Ntdsutil.exe，Eseutil.exe等。

Movetree.exe：是一个将对象从一个域移到另一个域的命令行程序。可以移动的对象包括帐户和组织单元等。

Ntdsutil.exe：是一个功能强大的活动目录处理程序。能够执行的任务和操作方法在本章前面列出，也可以在命令行中输入命令后通过“Help”查看。

ESEUtil.exe：修复、检查、压缩、移动和转储目录数据库文件。（其中的许多功能被NTDSUTIL 调用。）

其它的工具和功能如下表所示：

工具说明

SIDWalker 设置以前已移动、遗弃或删除的帐户所拥有的对象的访问控制表。

LDP 允许对 Active Directory 执行 LDAP 操作。该工具带有图形用户

界面。

DNSCMD 检查 DNS 资源记录的动态注册，包括安全 DNS 更新及资源记录

的解除注册。

DOMMAP 检查复制拓扑结构、站点和域关系

DSACLS 查看或修改目录对象的访问控制表。

NETDOM5 信任关系的分批管理，将计算机连接到域，验证信任关系和安全

通道

NETTest 检查端对端网络以及已分配的服务功能。

NLTest 检查目前起作用的定位程序和安全通道。

REPAdmin 检查复制伙伴之间的复制一致性、监视复制状态，显示复制元数

据、强行进行事件复制以及知识一致性检测的重计算。REPLMon 显示复制拓扑结构、监视复制状态（包括组策略）、强行进行事

件复制和知识一致性检测的重计算。该工具带有图形用户界面。DSAStat 比较域控制器的目录信息并检测它们之间的差异。

ADSIEdit Microsoft 管理控制台 (MMC) 管理单元用于查看目录中的所有对象（包括架构和配置信息）、修改对象以及设置对象的访问控制表。

SDCheck 检查目录中指定对象的访问控制表的产生和复制。该工具使管理员能够确定访问控制表是否正确继承而且对访问控制表的更改是否从一个域控制器复制到另一个控制器

ACLDiag 确定用户是否被授权或拒绝访问某个目录对象。也可用于将访问控制表还原到默认状态。

DFSCheck 用于管理分布式文件系统 (DFS) 所有方面、检查 DFS 服务器的配置并发性以及显示 DFS 拓扑结构的命令行实用程序。