Active Directory Yedeklemeden Nasıl Geri Yüklenir?

Bu makalede, Active Directory etki alanı denetleyicisinin daha önce oluşturulmuş bir Sistem Durumu yedeğinden nasıl geri yükleneceğini göstereceğiz (Active Directory yedeklemesi makalesine bakın) ve AD DC kurtarmanın türlerini ve ilkelerini tartışacağız.

AD etki alanı denetleyicinizin başarısız olduğunu ve onu bir yedek kopyadan geri yüklemek istediğinizi varsayalım. DC'nizi geri yüklemeye başlamadan önce hangi senaryoyu kullanacağınızı anlamalısınız. Ağınızda başka etki alanı denetleyicilerinin olup olmadığına ve bunlardaki Active Directory veritabanının sağlığına bağlıdır.

Bir Etki Alanı Denetleyicisini Çoğaltma Kullanarak Nasıl Geri Yüklerim?

Standart AD çoğaltma yoluyla DC kurtarma, bir DC'nin bir yedekten geri yüklenmesi değildir. Kurumsal ağınızda birden çok etki alanı denetleyiciniz varsa ve bunların tümü çalışır durumdaysa bu senaryoyu kullanabilirsiniz. Bu senaryo, aynı sitede yeni bir ADDS etki alanı denetleyicisine daha fazla yükseltilmesiyle birlikte yeni sunucu yüklemesini içerir. Eski DC basitçe AD'den kaldırılır.

Geri dönüşü olmayan AD değişiklikleriyle ilgili olmayan en kolay yoldur. Bu senaryoda, ntds.dit veritabanı, GPO dosyaları ve SYSVOL klasörünün içeriği, çevrimiçi kalan DC'lerden yeni etki alanı denetleyicisine otomatik olarak kopyalanacaktır.

ADDS veritabanı küçükse ve yüksek hızlı ağ bağlantısı üzerinden başka bir DC varsa, yukarıda açıklanan yöntem bir DC'yi yedek kopyadan geri yüklemekten daha hızlıdır.

Active Directory Geri Yükleme Türleri: Yetkili ve Yetkili Olmayan

Bir yedeklemeden iki tür Active Directory DC geri yüklemesi vardır ve bunu yapmaya çalışmadan önce açıkça anlamanız gerekir:

• Yetkili Geri Yükleme — AD nesnelerinizi geri yükledikten sonra, geri yüklenen DC'den diğer tüm etki alanı denetleyicilerine kopyalama gerçekleştirilir. Bu geri yükleme türü, tek bir DC'nin veya tüm DC'lerin aynı anda başarısız olduğu (örneğin, bir fidye yazılımı veya virüs saldırısından sonra) veya zarar görmüş bir NTDS.DIT veritabanının bir etki alanı genelinde çoğaltıldığı senaryolarda kullanılır. Bu modda, geri yüklenen tüm AD nesnelerinin USN (Güncelleme Sıra Numarası) değeri 100.000 artırılır. Böylece, DC'ler geri yüklenen tüm nesneleri daha yenileri olarak görecek ve bunlar etki alanında çoğaltılacaktır. Yetkili Geri Yüklemeyi çok dikkatli kullanın!!!

  Yetkili Geri Yükleme'de, yedeklemenizi oluşturduktan sonra yapılan AD değişikliklerinin çoğunu (AD grubu üyeliği, Exchange öznitelikleri vb.) kaybedersiniz.

• Yetkisiz Geri Yükleme — AD veritabanınızı geri yükledikten sonra, denetleyici diğer DC'leri bunun bir yedekten geri yüklendiği ve en son AD değişikliklerine ihtiyaç duyduğu konusunda bilgilendirir (DC için yeni bir DSA Çağırma Kimliği oluşturulur) ). Büyük bir AD veritabanını yavaş bir WAN kanalı aracılığıyla hızlı bir şekilde çoğaltmanın zor olduğu veya sunucunuzda bazı önemli verileriniz veya uygulamalarınız varsa, bu kurtarma yöntemini uzak sitelerde kullanabilirsiniz.

Active Directory Etki Alanı Denetleyicisini Sistem Durumu Yedeklemesinden Geri Yükleme

Etki alanınızda yalnızca bir DC'nin olduğunu varsayalım. Herhangi bir nedenle, üzerinde çalıştığı fiziksel bir sunucu başarısız oldu.

Etki alanı denetleyicinizin nispeten yeni bir Sistem Durumuna sahipsiniz ve Yetkili Geri Yüklemeyi kullanarak Active Directory'yi yepyeni bir sunucuya geri yüklemek istiyorsunuz.

DC geri yüklemesini başlatmak için, hatalı bir DC'de sahip olduğunuz Windows Server sürümünün aynısını yüklemeniz gerekir. Az önce kurduğunuz Windows Server'da ADDS rolünü (yapılandırmayın) ve Windows Server Yedekleme özelliğini yükleyin.

Active Directory'nizi geri yüklemek için sunucuyu DSRM'de (Dizin Hizmetleri Geri Yükleme Modu) başlatmanız gerekir. Bunu yapmak için msconfig'i çalıştırın ve Boot sekmesinde Safe Boot -> Active Directory onarımı seçeneğini seçin.

Sunucunuzu yeniden başlatın. DSRM'de önyükleme yapacaktır. Windows Sunucu Yedeklemesini çalıştırın (

wbadmin

) ve sağ menüden Kurtar'ı seçin.

Kurtarma Sihirbazı'nda "Başka bir konumda saklanan bir yedekleme'yi işaretleyin.

Ardından, eski AD etki alanı denetleyicisinin yedeğinin depolandığı diski seçin veya ona giden UNC yolunu belirtin.

wbadmin get versions -backupTarget:D:

Kurtarma için kullanılacak yedekleme tarihini seçin.

Geri yüklemek için Sistem Durumu'nu kontrol edin.

Orijinal konum'u seçin ve Active Directory dosyalarının yetkili geri yüklemesini gerçekleştir'i işaretleyin.

Sistem başka bir sunucu yedeği olduğuna dair bir uyarı gösterecek ve farklı bir sunucuda kurtarılırsa çalışmayabilir. Tamam'ı tıklayın.

Başka bir uyarıyı da kabul edin:

Windows Server Backup
Note: This recovery option will cause replicated content on the local server to re-synchronize after recovery. This may cause potential latency or outage issues.

Ardından, yeni bir sunucuda AD etki alanı denetleyicisi kurtarma işlemi başlayacaktır. Bittiğinde, sunucunun yeniden başlatılması gerekecektir (yeni sunucunun adı, yedekteki DC ana bilgisayar adına değiştirilecektir).

Sunucuyu normal modda önyükleyin (msconfig kullanarak DSRM'yi devre dışı bırakın).

Etki alanı yöneticisi ayrıcalıklarına sahip bir hesap kullanarak sunucuda oturum açın.

Active Directory Kullanıcıları ve Bilgisayarları (ADUC) konsolunu ilk kez çalıştırdığımda aşağıdaki hatayı aldım:

Active Directory Domain Services
Naming information cannot be located for the following reason:
The server is not operational.

Geri yüklenen etki alanı denetleyicisinde SYSVOL ve NETLOGON klasörü yoktu. Bu hatayı düzeltmek için:

1. Regedit.exe'yi çalıştırın;

2. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters kayıt defteri anahtarına gidin;

3. SysvolReady değerini 0'dan 1'e değiştirin;

   

4. Ardından NetLogon hizmetini yeniden başlatın:

   net stop netlogon & net start netlogon

   

ADUC'u tekrar açmayı deneyin. Alan adı yapınızı göreceksiniz.

Böylece AD etki alanı denetleyicinizi Yetkili Geri Yükleme modunda başarıyla kurtardınız. Ardından, Active Directory'deki tüm nesneler otomatik olarak diğer etki alanı denetleyicilerine çoğaltılır.

Geriye kalan tek DC'ye sahipseniz, 5 FSMO rolünün tümüne sahip olduğundan emin olun ve gerekirse bunları kullanın.

Ayrı AD Nesneleri Bir Yedekten Nasıl Geri Yüklenir?

Belirli AD nesnelerini geri yüklemek istiyorsanız, Active Directory Geri Dönüşüm Kutusu'nu kullanın. Kaldırım taşı kullanım ömrü doluysa veya Active Directory Geri Dönüşüm Kutusu etkinleştirilmemişse, Yetkili Geri Yükleme modunu kullanarak ayrı AD nesnelerini kurtarabilirsiniz.

Kısaca, prosedür aşağıdaki adımlardan oluşur:

1. DC'yi DSRM modunda önyükleyin;

2. Mevcut yedeklemelerin listesini görüntüleyin:

   wbadmin get versions

3. Seçilen yedeğin kurtarılmasını başlatın:

   wbadmin start systemstaterecovery -version:[your_version]

4. DC geri yüklemesini onaylayın (Yetkili Olmayan modda)

5. Yeniden başlattıktan sonra, çalıştırın

   ntdsutil

6. activate instance ntds

7. authoritative restore

Geri yüklemek istediğiniz nesnenin tam LDAPl yolunu belirtin. Tüm kuruluş birimini geri yükleyebilirsiniz:

restore subtree ″OU=Users,DC=a-d,DC=com″

Veya tek bir AD nesnesi:

restore object “cn=Test,OU=Users,DC=a-d,DC=com”

Bu komut, belirtilen nesnelerin (yolların) diğer etki alanı denetleyicilerinden çoğaltılmasını reddedecek ve USN nesnesini 100.000 artıracaktır.

ntdsutil'den çık:

quit

DC'yi normal modda önyükleyin ve nesnenin geri yüklendiğinden emin olun.