Active Directory修理和恢復

Windows2000的使用過程中，我們會遇到AD由於意外被損壞的 情況，那麼我們用什麼方法來恢復呢？下面我們就來討論Active Directory修理和恢復。

一、使用Ntdsutil來修理Active Directory

根據系統的報錯信息、系統日志或者應用程序的報錯，你懷疑出錯原因是域控制器上的Active Directory,這時候可能最先想到的是使用Ntdsutil來修復。但是，我建議最好把他作為最後一個也是最為有用的一個方案。如果你有一個系統的備份，最好使用備份來恢復系統，應該始終把使用備份恢復作為你首選的方案。

對目錄服務數據庫使用修復功能並不總能夠達到預期的結果。比如，如果真的數據庫文件損壞了，即使使用Ntdsutil也是沒有辦法恢復所有的對象及其屬性。實際上，在某些情況下使用修復工具反而會造成更多的數據丟失，所以在嘗試使用這種修復工具之前，注意把這個服務從網絡中隔離開來，以避免影響到其他的域控制器的Active Directory復制。在你確認修復後的服務器一切正常以後再連接到網絡中來。

如圖一所示使用ntdsutil修復AD數據庫。
（1）打開命令行提示符窗口，輸入下面命令：Ntdsutil
（2）出現Ntdsutil以後，輸入以下命令：repair

二、恢復Active Directory

當其他一切努力都失敗時，你可能會發現從AD的備份中恢復一個Win2000 DC(域控制器)是最有效的。雖然要把Active Directory從一個備份恢復到一個域控制器上不是一件難事，但是在你進行任何恢復之前，你需要對你的網絡體系和邏輯關系仔細考慮。你應該考慮以下幾個問題：

是否本地的Active Directory 數據庫損壞了，其他復制的域控制器是否也損壞了。

一個域控制器從你的備份中恢復，是否要覆蓋其他的域控制器的Active Directory數據庫信息。如果要覆蓋，那麼以前修改過的信息就會全部丟失（如：修改的帳戶與屬性等）。

或者你將要修復的Ａctive Directory要從其他的域控制器上復制原有的信息（如：帳戶和屬性等）。

因為上面的問題在於選擇使用那一種恢復模式。在 Active Directory恢復模式中有兩種：非授權（No authoritative）和授權（authoritative）.

非授權（No authoritative）模式：大多數的恢復操作都是此種模式。要恢復Active Directory的這一台域控制器從其他的域控制器上復制信息，這是依靠一個叫“版本號 （USN）”的參數。Active Directory在同一個域中，是通過這個參數去更新復制的，誰的版本號高，就找誰復制。

授權（authoritative）模式：當其他的域控制器包含無效的信息時，或我們有特定的要求以某一台域控制器為准做復制，此時可采用授權的恢復復制模式。在這種情況下，你可以手工指定你要恢復的整個Active Directory的數據庫。指定本地恢復的數據庫是授權的（也就是在與其他域控制器復制時，以本地恢復的版本號為准）。此時就要修改Active Directory的版本號，這樣一來他的版本號就高於其他域控制器的Active Directory數據庫的版本號，從而以本地數據庫的內容為主進行復制。

如果你使用Windows 2000自帶的備份工具 （Ntbackup.exe），要想成功恢復系統狀態（包括Active Directory），就必需有以下特點：

1. 服務器的名稱必須相同。
   
2. “\%systemroot%”文件夾所在的驅動器的字符必須和備份服務器的驅動器字符相同。
   
3. “\%systemroot%”文件夾所在的目錄必須和備份服務器所在目錄相同。（例如都在"c:\winnt"目錄下）。
   

三、使用非授權模式恢復Active Directory

要使用非授權模式，必須先停掉目錄服務，我們應該按照以下步驟進行：

1. 在Windows 2000啟動時按下F8，選擇"目錄服務恢復模式"，然後選擇啟動，然後Windows 2000進入安全模式。
   
2. 以系統管理員或者備份操作員的身份登陸。
   
3. 運行備份工具，從“歡迎菜單”中選擇“還原向導”，選擇“還原項目”，然後選中“系統狀態”。在系統狀態就包括了注冊表、Active Directory和其他系統的關鍵組件。
   
4. 在完成恢復操作以後，就可以重啟這台域控制器了。
   

重啟之後，這台域控制器將會參與Active Directory的復制會直接從其他的域控制器上接受最新的更新。

四、使用授權模式恢復Active Directory

通過授權恢復模式，你可以把所有的域控制器恢復到以前的某一時刻的狀態。比如，當系統管理員誤刪除了一個組織單元（OU），而且此組織單元中包含了非常重要的用戶帳戶信息。，那我們怎麼辦呢，此時我們可以通過使用授權的模式恢復丟失的信息，這樣一來我們可以達到兩個目的：一是恢復本地Active Directory的信息；二是恢復由於復制導致其他域控制器丟失信息的Active Directory。

授權模式就是要修改Active Directory對象的版本號，一般情況下，授權模式會在原來版本號的基礎上加一萬，以達到比所有其他的Active Directory數據庫的版本號都高，那麼低版本的數據庫就會以高版本的數據庫為標准而復制，以達到授權恢復的目的，當然，增加的數值可以自定義。

要使用授權模式，必須要使用Ntdsutil工具：

1. 在命令提示符輸入"cmd"，然後輸入：Ntdsutil
   
2. 在Ntdsutil提示符下，輸入：authoritative restore.
   此命令意味著將進入授權恢復模式。在授權恢復模式提示符下，輸入：restore database
   
3. 當系統提示需要確認進行授權恢復操作時，回答：yes,然後輸入：Quit。回車兩次，就可以關閉此窗口了。
   

在Active Directory 恢復完成以後，系統會自動彈出消息框是否要重啟服務器，一定要選擇“NO”，這點一定要注意。

最後，我們要知道每次的授權模式恢復以後，Sysvol文件夾也一同被恢復了，這樣一來，保證了Sysvol和Active Directory的一致。

以下是授權模式的一些命令：
authoritative restore: 列出授權模式命令列表。
Restore database: 授權模式恢復整個數據庫
Restore database verinc %: 增加版本號
等等，詳細命令可以查看Win2000幫助文件。

下圖是使用授權模式的界面：