Active Directory.pdf - Gattner

Wiederherstellen von Active Directory 597
Erfolgt die Replikation der Benutzerinformationen vor der Replikation der Gruppeninformationen, werden
die Gruppenmitgliedschaften ordnungsgemäß zugewiesen. Leider kann nicht gesteuert werden,
welche Objekte zuerst repliziert werden.
Um eine ordnungsgemäße Gruppenmitgliedschaft sicherzustellen, sollten zwei autorisierende Wiederherstellungen
durchgeführt werden. Die erste autorisierende Wiederherstellung gewährleistet, dass alle
Benutzer- und Gruppenobjekte vorhanden sind. Nach der Replikation der ersten Wiederherstellung ist
eine zweite autorisierende Wiederherstellung der Gruppenobjekte erforderlich, bei der die ordnungsgemäße
Gruppenmitgliedschaft sichergestellt wird.
Weitere Informationen Weitere Informationen zum Wiederherstellen von Benutzern und Gruppen finden
Sie im Microsoft Knowledge Base-Artikel „Wiederherstellen gelöschter Benutzerkonten und ihrer Gruppenmitgliedschaften
in Active Directory“ unter http://support.microsoft.com/kb/840001/.
Wiederbeleben von Tombstone-Objekten
Das Wiederbeleben eines Tombstone-Objekts ermöglicht die Wiederherstellung eines Active Directory-Objekts,
ohne dass dieses über eine Sicherung wiederhergestellt werden muss. Auf diese Weise
muss der Domänencontroller nicht offline geschaltet werden. Beim Erstellen eines Tombstone-
Objekts werden jedoch Attribute entfernt. Folglich verfügt ein wiederbelebtes Tombstone-Objekt
nicht über alle Attribute, die in einem autorisierend wiederhergestellten Objekt vorhanden wären. Beispielsweise
werden beim Löschen eines Benutzerobjekts verschiedene Attribute wie z.B. Adressinformationen
entfernt. Diese Informationen werden durch das Wiederbeleben eines Tombstone-Benutzerobjekts
nicht wiederhergestellt.
Beim Wiederbeleben eines Benutzerobjekts bleibt eine Vielzahl an wichtigen Attributen erhalten. Die
Beibehaltung des objectSID-Attributs bietet die Möglichkeit, alle dem Benutzer direkt zugewiesenen
Berechtigungen beizubehalten. Dies ist ein entscheidender Vorteil gegenüber der Neuerstellung eines
gelöschten Benutzerkontos. Zudem wird das objectGUID-Attribut beibehalten, das jedes Active
Directory-Objekt eindeutig identifiziert. Dieses Attribut wird zum Erhalten der Beziehungen zwischen
Objekten und für Anwendungen benötigt, die dieses Attribut verwenden.
Die in Tombstone-Objekten beibehaltenen Attribute lassen sich durch Änderungen am Schema festlegen.
Für jedes zu speichernde Attribut muss das dritte Bit des searchFlags-Attributs des entsprechendenattributeSchema-Objekts
gesetzt werden. Verknüpfte Attribute wie Gruppenmitgliedschaften
können jedoch nicht beibehalten werden, selbst wenn dieses Bit gesetzt wurde.
Wichtig Bei der Wiederbelebung eines Tombstone-Benutzerobjekts werden keine Gruppenmitgliedschaften
wiederhergestellt. Zum Wiederherstellen von Gruppenmitgliedschaften muss eine andere Methode verwendet
werden. Wenn Gruppenmitgliedschaften in der Organisation dokumentiert wurden, können diese manuell neu
erstellt werden.
Der Wiederbelebungsvorgang
An einem wiederbelebten Tombstone-Objekt müssen verschiedene Änderungen vorgenommen werden.
Zunächst muss das idDeleted-Attribut entfernt werden. Anschließend muss das distinguishedName-
Attribut geändert werden, über das das Objekt an den neuen Speicherort verschoben wird. Typischerweise
basiert der neue Speicherort des Objekts auf dem lastKnownParent-Attribut, über das das
Objekt wieder derselben Organisationseinheit zugewiesen wird, aus der es gelöscht wurde. Das
objectCategory-Attribut für das neue Objekt wird als spezifisches objectClass -Attribut im Tombstone-Objekt
konfiguriert.