活动目录概念和灾难恢复-
灾难恢复：Active Directory 用户和组
概览:∙复制和对象链接结构∙使用 NTDSUTIL 备份和还原∙权威还原和非权威还原Active Directory 是 Windows 网络中最为关键的服务之一。
为了避免出现停机时间和损失生产力，对与 Active Directory 有关的问题制订有效的灾难恢复计划是至关重要的。
这一点听起来容易，但令人吃惊的是，有很多管理员甚至没有为最常见的一个 Active Directory®故障方案 - 意外删除数据 - 制定计划。
意外删除对象是服务失败最常见的根本原因之一。
当我参加研讨会和会议时，我常常询问有谁曾经因为意外删除数据而导致 Active Directory 失败。
而每次几乎所有人都举手。
要理解为何数据恢复是如此复杂，必须先理解以下内容：Active Directory 如何恢复和复制对象、如何删除对象以及权威还原和非权威还原的结构。
存储对象Active Directory 是一个实施 X.500/LDAP 数据模型的专门的对象数据库。
数据存储（称为目录信息树或 DIT）基于可扩展存储引擎 (ESE)，这是一个索引顺序访问方法 (ISAM) 数据库引擎。
从概念上说，Active Directory 将 DIT 存储在两张表中：数据表（包含实际的 Active Directory 对象和属性）和链接表（包含对象之间的关系）。
每个 Active Directory 对象存储在数据表中单独的一行，每个属性一列。
数据表包含存储在域控制器 (DC) 上的所有副本的所有条目。
在一个常规 DC 上，数据表包含来自域 NC（命名上下文）、配置 NC 和架构 NC 的条目。
在全局编录上，数据表包含林中每个对象的条目。
Active Directory 使用可分辨名称标记 (DNT)（一个 32 位的整数）来唯一标识数据表中的每一行。
用于内部引用对象的 DNT 比其他标识符如可分辨名称 (DN) 和 objectGUID（一个 16 字节的二进制结构）都小得多。
灾难处理和灾难恢复制度全
灾难处理与灾难恢复制度文档修订记录1.灾难恢复定义灾难恢复，指自然或人为灾害后，重新启用信息系统的数据、硬件及软件设备，恢复正常商业运作的过程。
灾难恢复规划是涵盖面更广的业务连续规划的一部分,其核心即对企业或机构的灾难性风险做出评估、防范，特别是对关键性业务数据、流程予以及时记录、备份、保护。
数据备份是容灾的基础，是指为防止系统出现操作失误或系统故障导致数据丢失，而将全部或部分数据集合从应用主机的硬盘或阵列复制到其它的存储介质的过程。
2.关键控制点1、购买设备时应该获取厂商相关灾难处理条款2、每个项目留有备用设备、保证异地机房存在，异地机房要准备好相关备用设备。
3.灾难处理1、硬件损坏：即时检测设备原因，判断硬件损坏点以及维修时长，在放生故障时15分钟内确定故障原因和故障点，并且上报运维主管。
2、机房电源故障：立即联系运营商，确定电源恢复时间。
上报管理层，由管理层联系运营商。
2、毁灭性灾难：确定原因，立即启动应急响应，所有技术1-3个小时内全部到岗。
具体的灾难恢复时间目标和恢复点目标规定如下：主机宕机：RTO（1h），RPO（24h-48h）；存储设备故障：RTO（1h），RPO（24h-48h）；操作系统故障：RTO（1h），RPO（24h-48h）；主机应用故障：RTO（1h），RPO（24h-48h）；其他故障：RTO（1h），RPO（24h-48h）。
4.灾难恢复1、硬件损坏：预计硬件维修时间超过1个小时的，立即启用备用设备。
2、机房电源电源故障：确定电源恢复时间，电源恢复时间超过30分钟的，立即启动备用机房，备用机房设备进行相关的访问限制，停止耗费硬件资源和带宽的服务，只启动必须的访问服务，以此减少服务器和带宽压力。
3、毁灭性灾难：立即成立应急小组，所有技术人员到岗，启动备用机房所有备用设备。
立即由公司决策层增加硬件设备和机房网络带宽。
新购买设备架构未完成之前，只提供最核心的服务和必要的服务，其余服务实现限流策略。
灾难恢复规范标准
1) 数据备份系统 2) 备用数据处理系统 3) 备用网络系统 4) 备用基础设施 5) 技术支持能力 6) 运行维护管理能力 7) 灾难恢复预案
灾难恢复项目小组的制定和职能
1.管理组：统筹规划，指挥各小组按照既定计划进行执行。 2.部门恢复组：负责制定各部门情况制定应急备案，确定各部门数据 和财产的保护方式并执行保护，确定各部门数据的恢复方式并执行恢 复。 3.计算机恢复组：负责对全公司范围内的计算机故障进行排除、恢复 范围包括系统、必备办公软件。 4.损坏评估组：负责对公司损失的重要数据、财务进行总体评估。并 针对相应损失的财产进行汇总并结合拥有的保险进行申报。 5.安全组：负责灾难发生后的人员、数据、财务的安全进行保护。并 制定相应的安全策略。 6.设备支持组：负责对公司服务器、网络设备、交换机的故障进行排 除，制定相应解决重建方案。 7、数据恢复组：负责对公司各平台数据进行恢复，并制定相应数据 恢复方案。
业务系统数据导入：
数据恢复小组成员需根据导出的数据结合自己管理的业务平台进行数据导入 ，并测试可行性。再导入成功并可使用后及时同个小组成员负责人进行通知 。
(二）、非自然灾害引起的灾难恢复流程
非自然灾害引起的灾难恢复通常破坏较小，但是风险程度仍不可忽视 ，如电力故障导致的关键业务系统无法运行同样会给我们的公司带来一 定的影响。但由于破坏程度的不同，我们将引入业务持续计划（BCP） 这样一个概念。 业务持续计划是为了防止正常业务行为的中断而被建立的计划。当面对 由于人为造成的故障或灾难以及由此造成的财产损和正常业务不能正常 使用时，BCP主要被设计用来保护关键业务步骤。BCP是最小化对于业务 的干扰效果和使业务能恢复正常运行的计划。 RTO （Recovery Time Object）恢复时间是指EIA部门同公司签订的故障 响应恢复时间，如确保在1小时内排除故障，使业务系统重新恢复工作。 RPO (Recovery Point Objective)恢复点目标，该指标规定在灾难发生后， 公司所能够容忍的数据丢失量，该指标由EIA部门同公司签订。 对于RTO和RPO目标的实现，需要人力、物力的支持，因此对于高效， 最小化的BCP指标，往往也会花费大量的财力资源。在执行业务持续计 划的同时，由于造成的灾难和破坏性并不严重，因此可直接进入业务平 台恢复阶段。
业务持续性计划与灾难恢复计划
方法：
并行测试 对于恢复计划的完全测试利用所有的人员来从事这项测试主要不同于中断测试的地 方是不中断正常的生产过程测试在同正式生产环境并行的条件下进行测试主要目的是关键业务 能在备份站点上运行系统能重新在备份站点上布置测试进行后事物处理结果和其他因素将用来 做比较这是最为通用的测试方法
全中断测试 模拟真实灾难发生时对于业务造成中断的情况停止正常的业务来测试测试的要点 包括紧急服务这是一种引起人们惊慌的测试也是最好的测试方式
P
a
g
e
五种主要的灾难恢复测试类型
2
3 LEVEL
TYEP
DESCRIPTION
Copies of plan are distributed to
1
Checklist
management for review
Business unit management meets to
2
Structued walk-through
人为因素造成对业务持续有破坏作用的事件：
轰炸 、 蓄意人为破坏 、 其它有目的的攻击；
罢工 、怠工；
由于操作人员撤离危险环境造成的功能失效或其它自然或人为造成的功能失效的 情况；
通信基础不可用或者与测试相关的过载包括大部分的管理控制功能失效
P
a
g
BCP的四个主要元素
e
1
范围和计划的初始化；
0
这个阶段标志着BCP过程的开始它必须限定计划的范围和计划涉及
1
常见的可选的处理类型：
Mutual aid agreements –互助协议
Subscription services – 定购服务
Multiple center – 若干中心
windows 活动目录灾难恢复与授权恢复
核心提示：项目环境：1.1. 西安凌云系统高科技有限公司组建了一个单域；域名为“ange ”。
公司有两个DC分别来负责公司的运营，其中一个是备份的DC，那么我们如何在不同的DC上来实现林之间的转换和域于域之间的转换呢？1.2. 西安...项目环境：1.1. 西安凌云系统高科技有限公司组建了一个单域；域名为“”。
公司有两个DC分别来负责公司的运营，其中一个是备份的DC，那么我们如何在不同的DC上来实现林之间的转换和域于域之间的转换呢？1.2. 西安领域系统高科技有限公司组建了一个单域网络，有一天网络管理员不小心把两个OU删除了，但是相对了一个OU很重要，管理员怎么样才能把公司的OU恢复呢？项目标准：一、理解操作主机的概念；二、理解授权还原和非授权还原的概念；三、掌握基本操作主机的配置；四、掌握授权还原和非授权还原的配置；项目步骤：一、理解操作主机的概念；1.1.0. 我们都了解知道可以在一个域中可以添加多个子域也可以添加辅助域控制器，这样就可以实现我们在一个域中有多个域控制器，当然这些域控制器是对等的。
所以我们为了保证活动目录数据库的一致性需要来执行操作。
虽然一般的复制是多主机复制，但某些是更改不了适合多个主机复制执行。
正是在这种情况下我们来引出了操作主机的概念；通过操作主机来更改一些达不到的东西。
既然我们现在知道了“操作主机”是干什么的。
那么在活动目录中，操作主机有几种角色呢？1.2.0. 操作主机的角色有五种角色，但是我们可以分为“林范围内的操作主机”和“域范围内的操作主机”。
他们分别有什么分别有什么功能呢？在林范围的操作主机有“架构主机”和“域命名主机”；在域范围内的操作主机有：“PDC仿真主机”、“RID主机”、“基础架构主机”；在实验的步骤中我们来具体的了解各个操作主机的功能。
二、理解授权还原和非授权还原的基本概念；2.1.0. 作为一个合格的网络管理员我们知道想维护好相同的活动目录数据库，实现网络的可靠性，那么我们就需要我们定期的备份和还原数据库，因为在操作活动目录时，管理员有可能因为不小心进行了一些无意的操作，像不小心删除了某个OU或者一些机密性的文件夹，而要想还原自己不小心删除的文件或者是一些机密性文件，那么作为管理员备份时不可缺少的；而通过备份的文件那么我们就可以轻而易举的找回来我们因为不小心删掉的文件了；但是在还原中我们会牵扯到连个概念；“授权还原”和“非授权还原”；2.2.0. 非授权还原：可以恢复活动目录到它备份的状态。
Active directory 灾难恢复
Active directory 灾难恢复出处：Dve-Club 作者：haotong 时间：2004-2-11 21:33:00由于下面这两个原因之一，Active Directory 常常需要灾难恢复措施。
·数据库损坏·数据损坏数据库损坏在本文档中，我们假定数据库是因为下列原因之一而损坏的：磁盘损坏。
域控制器发生硬件故障，需要更换。
数据损坏在本文档中，我们假定数据是因为下列原因之一而损坏的：· Active Directory 数据损坏，而这些数据已经复制到其他的域控制器。
·错误删除 Active Directory 对象，而这些对象已经复制到该域/目录林的其他域控制器。
现在这些对象必须在 Active Directory 中恢复。
恢复 Active Directory恢复 Active Directory 的方法有两种。
您可以重新安装 Windows 2000，然后通过正常复制过程，重新导入 Active Directory。
另外一种方法就是从备份恢复 Active Directory。
第一种方法是将 Active Directory 根据其当前复本伙伴的情况恢复为当前状态。
第二种方法是将 Active Directory 恢复为前一个已知状态（前次备份时的状态）。
通过重新安装和复制来恢复 Active Directory您可以在受损的系统上重新安装 Windows 2000 Server，把该服务器当作域控制器，然后在安装 Active Directory时，让正确信息自动复制，借此恢复域控制器。
通过 WAN 来安装Active Directory，可能会大量消耗可用的 WAN 带宽。
如果 Active Directory 很大，还会耗费许多时间。
若要解决这个问题，建议您在中央位置安装新的域控制器，然后将它运送到远程位置。
对于分支机构环境来说，这可能不是很好的方法。
Windows Sever 2003 网络操作系统名词解释
1.域林：域林是指由一个或多个没有形成连续名字空间的域树组成，它与域树最明显的区别就在于域林之间没有形成连续的名字空间，而域树则是由一些具有连续名字空间的域组成。
2.简单卷：简单卷是物理磁盘的一部分，但它工作时就好像是物理上的一个独立单元。
简单卷是相当于Windows NT 4.0 及更早版本中的主分区的动态存储。
3.STMP：SMTP协议SMTP(Simple Mail Transfer Protocol)即简单邮件传输协议,它是一组用于由源地址到目的地址传送邮件的规则,由它来控制信件的中转方式。
4.WINS：WINS是Windows Internet Naming Server，即Windows Internet命名服务。
它提供一个分布式数据库，能在路由网络的环境中动态地对IP地址和NETBios名的映射进行注册与查询。
1. 成员服务器：在部署服务器的时候，第一台服务器包括基本所有的功能，当一台服务器不能满足所有的要求的时候可以添加其它的只提供部分服务(如应用程序或者数据服务)的服务器即称之为成员服务器。
2. 索引服务：索引服务是一项系统服务（Indexing Service），使用文档筛选器读取整个文档，并提取文档和属性传递给索引程序，这个过程称为“索引”。
3. RAID5：RAID 5 是一种存储性能、数据安全和存储成本兼顾的存储解决方案。
RAID 5可以理解为是RAID 0和RAID 1的折中方案。
4. 网络地址转换：网络地址转换(NA T,Network Address Translation)属接入广域网(WAN)技术,是一种将私有(保留)地址转化为合法IP地址的转换技术,它被广泛应用于各种类型Internet 接入方式和各种类型的网络中。
1．UNC：UNC (Universal Naming Convention) / 通用命名规则，也叫通用命名规范、通用命名约定。
网络（主要指局域网）上资源的完整Windows 2000 名称。
活动目录之备份与恢复
1、整个网络中有且仅有一台域控制器;首先，本人并不成赞成网络中存在这种情况，也就是说网络中最好是存在两台或两台以上的域控制器，当然有些朋友可能会说:买服务器你给钱啊?我先声明:我没钱。
而且现在的老板都很精哟，一般是能用就行，至于坏了怎么办?那当然是网络管理员来想办法解决了，难道白给你工资啊?所以有些网络中的确存在着只有一台域控制器的现象，那么对于这种情况，备份是必不可少的了，而且建议备份到网络上，别备份到本地计算机上，因为备份在本地的话，万一服务器的硬盘烧毁，那么你的备份也会随之而去，这样的话和没有备份没什么区别。
那么，怎么备份?我们要用到Windows 2003自带的备份工具Ntbackup。
点击“开始-运行”，输入:“Ntbackup”回车，也可以点击“开始-程序-附件-备份”，其实是一回事，我们就可以看到如下的画面:点击我用箭头指出的“高级模式”:再点击用红框标出的“备份向导(高级)”，这时会出现一个备份向导:在这里请大家注意，直接点“取消”，这样可以进入备份工具控制器，以便有更多的可以自定义的项目:在这里，需要提醒大家的是，如果你只是想备份活动目录的话，那么你只需要备份一下系统状态就可以了。
但本人强烈建议:最好再做一个整个C盘的备份!以防止丢失一些其它的数据。
在这里，我为了节省时间，就仅仅备份一下系统数据了:在上图的左下角，“备份媒体或文件名”里可以选择备份的路径，并且支持网络备份的。
选择好备份文件的存放路径后，就可以点击“开始备份”了:点击“开始备份”后，会出现如下画面:在上面的选项中，点击“计划”，系统会提示你“保存当前备份设置”，保存完成后，会出现下面的画面:在这里要输入正确的具有管理员权限的帐号和密码才可以，输入后点“确定”，就会出现一个“计划的作业选项”:点击上述画面中的“属性”:在这里，可以设置计划作业，以方便系统以后自动按照计划进行备份，就不用一次次的手动备份了。
设置完成后，就回到了刚刚的画面:这次点击“高级”:在这里，可选择一些如数据备份完成后验证其完整性之类的选项，这个大家可以根据需要进行选择，主要向大家简单介绍一下五个备份类型:正常:备份所有选择的文件夹和文件，不依赖于任何标记，但会清除标记副本:备份所有选择的文件夹和文件，不依赖于任何标记，但不会清除标记增量:只备份选择的且有标记的文件夹和文件，但是会清除标记;差异:只备份选择的且有标记的文件夹和文件，且不清除标记;每日:以天为单位，每天发生变化的文件都会被备份;这五种备份类型具体如何应用，如何配合使用，请大家结合自己的实际情况决定。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
活动目录概念和灾难恢复- -一、什么是活动目录？AD是一种事务性数据库，它是一种预先写入记录的模式，使用了ESE97的技术。
在磁盘上，AD显示为几个文件，它们是ntds.dit（AD数据库），一组交易记录（即日志）和记录数据库最后一个缓冲区的检查点文件。
还有一个暂时性的数据库文件。
目录服务是一个组合名词，它包括有目录数据存储和可让用户或程序存取信息的相关服务的意思。
为社呢们要有目录呢？目录可提供企业网络所有重要数据的一个集中存放区域，这些数据包括用户帐户、计算机、打印机、应用程序、安全性与系统原则等各种资源。
将大部分的重要的资源集中的放在某个共享的网络资源中，这样一来可以改善企业的效率与大幅减少网络的总拥有成本（TCO）。
WIN 2K的目录服务使用的是多控制器模式，也就是说，可以在任意的一个控制器上修改目录资源。
所以，从上我们可以得知，AD实际是个数据库，而每个DC都是重要的数据库服务器，所以，我们应象保护重要数据库一样来保护DC。
二、活动目录的几个概念1、域：一个安全边界。
2、树：多个域的集合。
3、林：多个有关联的树。
4、DNS：通向AD的网关。
DNS中的服务记录，是应用系统查询AD的根本所在。
5、GC：一个经常被查询的AD对象的索引。
在本机模式下，GC参与网络客户端的登录请求处理，提供通用组成员资格，出非域管理员组成员，才可以不需要GC的协助登录网络。
在混合模式下，GC就不参与登录处理了但GC对网络中进行目录查询与搜寻仍旧很重要。
6、操作主机：虽然多控制器模式是AD的核心功能，但多服务器之间的潜在冲突也使这样的方式运作出在一定的不适用性，为了解决这一问题，AD选择了一些特殊的机器来担任特殊的角色。
每个角色负责处理特定AD区域的改变。
三、AD的维护和备份1、AD的维护：通过性能监视工具监视AD的运行状态和组件状态，可以有效的发现AD故障并及时解决。
2、AD的备份：AD可以通过备份系统状态来备份，你可以在系统工具里找到备份工具来完成此工作，也可以使用第三方软件来实现。
但要注意备份AD的一些约束条件：* AD只备份当前有效的数据，对于已经标记删除的对象，不备份。
而AD中的对象删除并不是立即的，需要有60天的删除标记时间。
因此，应避免恢复60天前的AD备份，以免导致AD不完整。
* AD的备份类型无法选择，只能使用完全备份。
* 要确保备份中同时包含系统状态、系统盘的文件以及SYSVOL目录的内容。
* 你只能用原服务器的备份来恢复该服务器，不能用另一台服务器的备份恢复该服务器。
3、AD的整理：AD系统默认每12小时会运行自动在线整理一次。
但是在线整理不能减少数据库的大小，要减少数据库的大小，需要使用离线整理，其操作为：在DC启动的时候，按F8进入启动菜单，选择“目录恢复模式：进入系统，在命令行下输入如下命令。
ntdsutilfilesinfo注意此时输出的目录文件路径！comnpact to c:\mydir通过这个命令将在指定目录下的建立一个压缩后的数据库文件。
quit两次，退出工具。
接下来，你需要用压缩后的文件替换原始的文件。
并重新启动计算机四、AD的架构AD的架构是以结构化的方式定义的数据组成，它通过描述元数据来定义这些结构，通常包括属性名称、类型、长度、关系等。
看起来，有点象关系数据库里的字段定义。
同时还包括一些扩展的属性。
包括：1、命名上下文：有三个，它们是域命名上下文（保存当前AD域的数据），配置命名上下文（保存主要基础对象和配置信息），架构命名上下文（保存定义了所有的AD对象和属性）。
2、类别：描述了AD对象及与之相关的特性和属性。
AD架构的管理：架构管理由架构主机角色控制，默认情况下看不到该管理单元，需要先注册.schmmgmt.dll，才可以在MMC里找到它。
注册方法是运行：regsvr32 %systemroot%\system32\schmmgmt.dll。
架构内容是禁止删除的。
五、AD的修理和恢复1、AD的维护和修复，都是通过一个命令行工具--NTDSUTIL来实现的。
修复命令为：ntdsutilrepair2、AD的恢复恢复模式：AD有两种恢复模式--授权恢复和非授权恢复，其区别在于：1）授权恢复：当其他的域控制器包含了无效的复制和数据时，可以采用授权恢复方式，这种情况下，你可以手工指定你要恢复整个数据库或某个分支，并指定本地的恢复操作是权威的。
所谓的权威，就是当发生目录复制时，以本地数据为准。
授权恢复要修改AD的升级序号，这样它的序号就高于其他的DC了，从而使本地的恢复数据能复制给其他的DC。
2）非授权恢复：大多数的恢复操作都是非授权的。
当你发现一台DC的数据有问题，而确信其他的DC数据是正常的，就可以使用非授权恢复。
恢复完成后，DC会重新比较升级序号并参与正常的复制。
也就是说，通过非授权恢复的数据可能在复制中被再次改写。
注意点：如果你没有达到以下要求，恢复操作必定失败* 服务器名趁应和备份时一样* 系统文件夹所在驱动器应与备份时相同* 目录保存路径应和备份时相同3、恢复的操作1）非授权恢复：启动DC，进入”目录恢复模式“，执行备份的还原操作。
2）授权恢复：在执行完非授权恢复后，继续以下操作：* ntdsutilauthoritative restorerestore database该命令将授权还原整个数据库，如果只想还原某个分支，可以用：restore subtree ou=eng,dc=mycompany,dc=com系统提示是否正确，回答YES。
quit退出。
注意：在恢复完成后，系统会自动的提示是否需要重新启动服务器，授权恢复一定要选择”NO“，否则一旦服务器重新启动，本次授权恢复就会变成非授权恢复了。
另外，需要注意的是，授权恢复一同还原了SYSVOL文件目录，当计算机帐户没有禁用时，系统会每7天查询确认一次计算机密码，授权恢复同样也还原了这一信任密码，有可能会导致计算机信任关系丢失，这也需要注意。
4、AD的灾难性恢复处理1）重新安装恢复AD还原AD的最简单方法是重新安装操作系统，重新提升DC。
这样就产生了一个新的DC，但要考虑一个问题，如果原DC的数据已经损坏，我们将无法使用DCPROMO命令删除该DC上的AD数据，这样就可能导致AD数据的不同步性，而且更糟糕的是，在AD用户和计算机的管理单元里，你也不能删除DC对象。
这是你只能从”AD站点和服务“里先删除该服务器，才能删除该DC。
如果你不幸的需要新的DC和原来的DC一样的名字，那么你必须先使用NTDSUTIL命令删除AD里的对象信息后，才能建立新的DC。
具体操作如下：ntdsutilmetadata cleanupconnectionsconnect to server <good dc>quitselect operation targetlist siteselect site <ID>list domainsselect domain <ID>list servers in siteselect server <bad dc>remove selected server以上命令，就可以删除坏掉的DC信息。
更详细的资料，请参考NTDSUTIL的帮助，执行NTDSUTIL ？即可阅读帮助信息。
注意：在删除原DC之前，应确认原DC上不包含任何角色，如果有，请使用NTDSUTIL命令夺取角色，方法如下：ntdsutilrolesSeize domain naming master - 在已连接的服务器上改写域角色Seize infrastructure master - 在已连接的服务器上改写结构角色Seize PDC - 在已连接的服务器上改写 PDC 角色Seize RID master - 在已连接的服务器上改写 RID 角色Seize schema master - 在已连接的服务器上改写架构角色被夺取角色的DC在没有重新安装操作系统前，不能重新连入网络！！2）从备份中还原AD从备份文件恢复AD是非常适合的。
但要注意使用的还原模式，如果因恢复错误操作的信息，应记得使用授权恢复模式。
注意点：* 过期的备份：前面我们提到，AD的备份不能还原60天前的数据，如果你需要还原60天的备份，需要按KB216993要求修改全局标记时间后才能还原。
其的位置在AD里的CN=Directory Service,CN=WindowsNT,CN=Services,CN=Configuration,DC=COMPANY,DC=COM，名称为：tombstoneLifetime，该操作需要直接编辑AD数据，可使用ADSI，LDP等工具。
注意：请慎重操作！* 不同硬件下还原：通常情况，不建议你将AD的备份还原到不同的硬件上，除非你确认新机器和原机器的硬件基本一直，并使用同样的硬件抽象层文件（HAL）。
* 远程备份和还原：在BOOT.INI文件后，可以加上/safeboot:dsrepair命令选项，引导远程机器进入恢复模式。
5、结语本文简单的描述了活动目录的整体概念和基本理论，并重点阐述了AD的备份和恢复技巧和操作，以及灾难性的恢复手段。
附录：NTDSUTIL的帮助ntdsutil: ?? - 打印这个帮助信息Authoritative restore - 权威性的恢复 DIT 数据库Domain management - 准备新域创建Files - 管理 NTDS 数据库文件Help - 打印这个帮助信息IPDeny List - 管理 LDAP IP 否认列表LDAP policies - 管理 LDAP 协议策略Metadata cleanup - 清理不使用的服务器的对象Popups %s - 用“on”或“off”启用或禁用弹出Quit - 退出实用程序Roles - 管理 NTDS 角色所有者令牌Security account management - 管理安全帐户数据库 - 复制 SID 清理Semantic database analysis - 语法检查器。