活动目录维护_参考

活动目录维护1．维护活动目录 (2)2．AD的备份 (2)2.1 备份前的准备 (3)2.2 了解Active Directory数据库文件的作用 (4)2.3．备份Active Directory数据库 (4)3. Active Directory数据库的还原 (9)3.1 Windows Server 2003活动目录的还原方式 (9)3.2 活动目录标准还原 (9)3.3．活动目录的授权还原方式 (12)3.4 活动目录的主还原方式 (19)4．活动目录数据库的移动 (20)1．维护活动目录在Windows Server 2003中，维护活动目录主要包括以下几个方面：备份活动目录：恢复活动目录：移动活动目录：对目录数据库进行整理时，需要把活动目录数据库移到新的位置。

整理活动目录：通过对活动目录数据库进行整理，以减少因碎片而造成的数据库空间利用率低下等不足，使活动目录数据库更加优化、效率更高。

2．AD的备份Active Directory数据库的备份在企业应用环境中是个非常重要的工作，无论是单域单域控的，单域多域控的，还是多域多域控的环境，Active Directory数据库的备份都是要经常做的工作。

备份的好处如下：1．灾难恢复。

对于单域单域控的企业环境，如果Active Directory生病了，比如误操作，磁盘等的原因，如果我们备份过Active Directory数据库，恢复起来非常的容易。

当然对于单域多域控的环境和多域多域控的环境是同样的道理，步骤相对麻烦而已。

2．转移数据。

如果我们要在当前域搭建一台额外域控制器，无论这台新的额外域控制器是和主域控制器在一个地理位置，还是在不同的地理位置。

通过备份来转移数据是非常时效的方法。

本节的实验环境，如下图2.1 备份前的准备了解Active Directory的工作过程我们与活动目录交互时，比如在活动目录中添加、更新、删除和移除对象等修改操作，在业务逻辑上其实是采用了事务的机制来完成的。

而事务我们知道遵从ACID原则，脱离ACID 原则的事务是不存在的。

事务在关系数据库中处处可见，当然在企业应用系统中也很常见。

一个事务中的一系列操作要么全部都做成功，要么全部都不做。

活动目录中的数据修改时，会按照下面这个过程完成:步骤如下：1．我们向活动目录提交一个写请求2．AD根据写请求初始化一个事务3．接着AD在内存中缓存该事务，4．同时AD把该事务操作写到事务日志文件edb.log中5．接着AD把事务操作结果写到磁盘上的数据库文件ntds.dit6．接着AD对比数据库文件和日志文件以确保事务被提交7．最后AD更新检查点文件edb.chk2.2 了解Active Directory数据库文件的作用1．ntds.dit文件就是传说中的Active Directory数据库文件。

它存储了该DC中所有的AD对象数据。

扩展名dit的意思是directory information tree，意思是目录信息树。

2．edb.log是一个事务日志文件。

它保存着Active Directory的变动记录。

也就是说edb.log 是Active Directory变动的记录文件。

默认的事务日志名是edb.log，每个事务日志的文件大小为10MB，当文件edb.log被写满时它被重命名为edbxxxx.log，从重新建立一个变动记录文件，同时不需要的旧记录文件会被自动删除。

其中xxxx是文件编号，从0001开始，逐渐递增。

AD在将变动数据写入到内存的同时，AD也会将变动数据写到变动记录文件内(edb.log)。

如果系统不正常关机，导致内存尚未写入到Active Directory的数据丢失时，当再开机后，系统便可以根据检查点文件edb.chk来得知要从变动记录文件edb.log内的哪个数据开始，利用变动记录文件edb.log内的变动记录，将关机前尚未写入Active Directory数据库的变动记录继续写入。

3．edb.chk是“检查点”文件，每次AD将内存中的数据写到AD时，都会更新deb.chk文件。

以便记录与内存相对用的变动记录文件edb.log内有哪一些数据已经写入到Active Director数据库内。

该文件用来维护内存和磁盘上的Active Directory数据库之间的数据的指针。

该文件的指针指出了日志文件edb.log的起始点，如果修改有错误，就从该起始点开始覆盖信息。

4．res1.log和res2.log是两个预留的事务日志文件，每个大小为10MB。

当磁盘空间不够时或耗尽时，变是这2个文件的应用场景。

我们要备份什么?备份Active Directory数据库，其实就是要备份Active Directory数据库文件和SYSVOL文件夹，而Active Directory数据库文件和SYSVOL文件夹都属于系统状态文件(system state)，所以我们通过备份系统状态文件来备份Active Directory数据库。

2.3．备份Active Directory数据库备份前首先在域控制器上创建一个北京分公司OU和在北京分公司OU下的2个用户账户bob和terry，同时在客户端client1利用bob登录域。

如下图然后我们开始备份：步骤1：在server1上，单击开始->运行，输入ntbcakup，回车。

如下图步骤2：在“备份和还原向导”对话框中选择“高级模式”，然后单击“下一步”按钮。

我个人比较喜欢这种模式，其实和向导模式是一样的，根据你自己的情况选择。

如下图步骤3：选择“备份”标签，如下图步骤4：选择System State，单击“浏览”按钮选择备份文件存放的文件夹，其中ADbak文件夹是我们自己创建的，而Backup.bkf是备份文件的默认名，当然也可以改名。

然后单击“开始备份”按钮，如下图。

步骤5：这里可以选择计划和高级，根据自身企业的情况而定。

计划其实就是要创建计划作业，而高级可以选择正常，增量，差异，副本，每日五种备份类型。

然后单击“开始备份”按钮，如下图步骤6：正在备份System State(系统状态)。

如下图步骤7：备份完成，显示了一些备份信息。

单击“关闭”按钮，如下图步骤8：此时我们切换到“还原和管理媒体”标签，就会看到我们刚刚备份的System State。

方法是副本备份，如下图3. Active Directory数据库的还原3.1 Windows Server 2003活动目录的还原方式Windows Server 2003活动目录的还原方式有三种：正常还原（标准还原、非授权还原，非验证还原等称谓）：在单个域控制器的环境中我们常常使用正常还原来进行灾难恢复。

如果结合正常，增量和差异等备份，我们可以保证活动目录数据库的完整性。

授权还原（强制性还原）：应用于多个域控制器的环境中，但事实上企业的域环境不是我们想象的那么脆弱，所以授权还原在实际企业环境中，使用的机会非常小，但一旦误删除了域中的对象，授权还原的便排得上用场。

主还原（主要还原）：也应用于多个域控制器的环境，但前提是域中所有的域控制器都出现故障了，当还原第1台域控制器时，这便是主还原的应用场景。

3.2 活动目录标准还原我们这里用标准还原来还原Active Directory数据库。

标准还原(normal restore)又称为非强制还原(nonauthoritative restore)，也称为非验证还原。

名字多多。

标准还原只是单纯的将Active Directory数据库从备份的介质中还原，不过标准还原在单域单域控的中小企业中经常使用，另外在主辅域控当中我们常常先用标准还原再搭配强制性还原来灾难恢复，所以我们这里先演示标准还原。

为了演示标准还原，我们先删除域中北京分公司OU。

同时也删除这个OU 下的2个用户账户bob和terry。

然后我们用标准还原把他们找回来。

步骤1：重启域控制器server1，然后按F8进入“Windows高级选项菜单”，然后我们选择“目录服务还原模式（只用于Windows域控制器）”。

步骤2：选择操作系统，如下图步骤3：输入目录服务还原模式的账户和密码，还记我们在安装活动目录时设置那个目录服务还原模式账户密码吗？对，就是那个。

步骤4：开始 运行->输入ntbackup->选择“高级模式”->切换到还原和管理媒体->选择System State。

然后单击“开始还原”，如下图。

步骤5：单击确定。

如下图步骤6：单击确定，当然我们也可以切换到高级看看和制作离线备份文件时还原的高级有什么不同。

发现默认第二项这里也选择了。

如下面的2副图步骤7：正在还原，如下图。

还原完成后弹出一个还原完成的报告对话框。

最后我们重新启动域控制器server1，发现被删除的北京分公司OU和它下面的bob和terry 用户账户已经被还原了。

3.3．活动目录的授权还原方式本节实验的环境如下图：授权还原的应用场景我们讨论了标准还原，这一节我们继续讨论授权还原和主还原。

首先我们要明白授权还原的应用场景：假如域内有2台域控制器，在域控制器server1（域中的第1台域控制器）上我们做过备份，但是突然今天不小心把server1上“北京分公司”这个OU或者“北京分公司”中的某个用户帐户“Terry”删除了，变动以后的数据会通过AD的复制功能复制到域控制器server2上，即在域控制器server2上“北京分公司”这个OU 或“Terry”账户也会被删除。

此时我们会想到，利用正常还原在server1进行还原，将“北京分公司”这个OU 或“Terry”账户恢复。

不错，我们确实可以在server1还原“北京分公司”这个OU 或“Terry”账户，可是我们虽然在server1上还原了“北京分公司”这个OU 或“Terry”账户，但在server2上“北京分公司”这个OU 或“Terry”账户已经被标记为“已删除”的对象，那么当下一次server1和server2之间执行AD复制的操作时，server1中被还原的“北京分公司”这个OU 或“Terry”账户会被再次删除，因为对于域控制器来说，server2上被标识为“已删除”的“北京分公司”这个OU 或“Terry”账户的版本号较高，而server1中刚刚还原的“北京分公司”这个OU 或“Terry”账户是旧的数据，其版本号较低。

而域控制中当两个对象有冲突时，版本号较高的对象会覆盖掉版本号较低的对象。

此时我们不仅需要在server1上执行正常还原，而且还需要接着执行授权还原，以便使server上刚刚被还原的旧“北京分公司”这个OU 或“Terry”账户的版本号增加，而且这个增加是从上一次备份当天到这次授权还原为止，每天会增加100000次，这样授权还原就会保障server1中还原的旧数据的本版号总比server2中被标记为“已删除”的对象的版本号高。