Active Directory.pdf - Gattner

Wiederherstellen von Active Directory 587
Mithilfe von Ntdsutil sollte nicht nur das Verzeichnisobjekt, sondern auch die DNS-Einträge für den
ausgefallenen Domänencontroller bereinigt werden. Hierzu müssen alle DNS-Einträge, einschließlich
aller Einträge des Domänencontrollers, globalen Katalogservers und primären Domänencontrollers,
aus DNS entfernt werden. (Die letzten beiden sind nur dann vorhanden, wenn der Domänencontroller
mit diesen Rollen konfiguriert wurde.) Werden die DNS-Einträge nicht bereinigt, erhalten Clients
auch weiterhin die DNS-Informationen und versuchen, eine Verbindung mit dem Domänencontroller
herzustellen. Da es den Clients nicht möglich ist, andere Domänencontroller zu verwenden, kann dies
zu langsameren Verbindungen zu Active Directory führen.
Einige Active Directory-Bereinigungsaufgaben, die in früheren Versionen manuell ausgeführt werden
mussten, werden von der in Windows Server 2008 und Windows Server 2003 SP1enthaltenen
Ntdsutil-Version automatisch ausgeführt:
• Entfernen des NTDSA- oder NTDS-Einstellungsobjekts
• Entfernen von Objekten für eingehende AD-Verbindungen für die Replikation
• Entfernen des Computerkontos
• Entfernen des vom Dateireplikationsdienst (File Replication Service, FRS) verwendeten FRS-
Mitgliedobjekts
• Entfernen des vom Dateireplikationsdienst verwendeten FRS-Abonnentenobjekts
• Übernehmen von FSMO-Rollen des ausgefallenen Domänencontrollers
Nicht autorisierende Wiederherstellung von Active Directory
Eine nicht autorisierende Wiederherstellung von Active Directory wird in zwei Fällen durchgeführt.
Wenn die Active Directory-Datenbank auf einem Server beschädigt wird, kann die Datenbank anhand
einer nicht autorisierende Wiederherstellung neu erstellt und wieder funktionstüchtig gemacht werden.
Bei einer vollständigen Wiederherstellung eines Domänencontrollers wird ebenfalls eine nicht
autorisierende Wiederherstellung von Active Directory durchgeführt. Eine vollständige Wiederherstellung
eines Domänencontrollers ist beim Ausfall des einzigen Domänencontrollers in der Domäne
erforderlich. Zudem kann eine vollständige Wiederherstellung eines Domänencontrollers durchgeführt
werden, wenn die Identität eines ausgefallenen Domänencontrollers beibehalten werden soll.
Wurden seit der Sicherung Änderungen in Active Directory vorgenommen, sind diese nicht auf dem
Sicherungsband vorhanden. Die aktuellen Informationen sind jedoch auf den weiteren Domänencontrollern
der Domäne gespeichert. Wenn der Domänencontroller aufgrund eines Serverausfalls neu
erstellt wird, sollte dieser nach der Wiederherstellung die Änderungen von seinen Replikationspartnern
übernehmen. Hierzu muss eine nicht autorisierende Wiederherstellung durchgeführt werden.
Nicht autorisierende Wiederherstellung auf einem vorhandenen Server
Für eine nicht autorisierende Wiederherstellung von Active Directory wird eine zuverlässige Sicherung
der wichtigen Volumes auf dem Domänencontroller benötigt. Das System wird im Modus für die
Verzeichnisdienstwiederherstellung (Directory Services Restore Mode, DSRM) gestartet (siehe
Abbildung 15.5), der Systemstatus aus den wichtigen Volumes wird über Wbadmin.exe wiederhergestellt,
und anschließend wird Windows Server 2008 normal neu gestartet. Nach dem Neustart des
Domänencontrollers stellt dieser eine Verbindung zu seinen Replikationspartnern her, um die eigene
Datenbank mit den seit der Sicherung geänderten Domäneninformationen zu aktualisieren.