Active Directory: copia e ripristina. Come posso ripristinare Active Desktop? Recupero attivo

Cosa fare e cosa balla con e senza tamburello per ballare se vedi la scritta "Ripristina Active Desktop" sul desktop? Sebbene sempre meno utenti incontrino questo problema, poiché la piattaforma principale per questo errore è il sistema operativo Windows XP, è ancora rilevante. Dopotutto, questo sistema è ancora rilevante, sebbene.

Perché errore durante il ripristino del desktop?

Il problema è questo: a causa di un qualche tipo di errore, il desktop, come lo conosciamo, smette di funzionare. E insieme al nostro sfondo preferito, vediamo la scritta "Ripristina Active Desktop", che dobbiamo concordare: spiacevole. Ma sembra che tutto non sia particolarmente spaventoso, poiché lì puoi vedere immediatamente il pulsante per ripristinare il desktop. E sono seriamente interessato alla domanda, questo pulsante ha aiutato almeno qualcuno? Almeno una volta?

I motivi per cui il desktop si spegne mi sono sconosciuti. Non ho spulciato le FAQ in cerca di un'interpretazione. Ma so come risolvere un problema del genere, e penso che tu sia venuto qui proprio per questo, e non per una teoria noiosa.

Metodi di ripristino del desktop

Il modo più semplice per ripristinare Active Desktop è accedere come amministratore locale ed eliminare la cartella dell'utente problematico. Se sei un amministratore, puoi creare un nuovo amministratore e, di nuovo, eliminare la cartella dell'utente problematico. Questa cartella è memorizzata in c: \ utenti. Quindi rientrare nell'account problematico. La cartella dell'account verrà ricreata. E poiché viene creato copiando la cartella Predefinito, allora non ci saranno problemi in esso. Dal momento che la cartella Predefinito questa è la cartella predefinita, in base alla quale vengono create tutte le nuove cartelle utente, non c'è nulla dell'utente in essa. Nessuna impostazione, nessun documento, nessuna password salvata: assolutamente nulla da cui trarre profitto durante la vita di un account. Pertanto, questa è la soluzione più semplice al problema. E il rovescio della medaglia della leggerezza è la demolizione di tutte le tue impostazioni. Se questo ti si addice, vai avanti e con la canzone.

Ebbene, c'è sempre una soluzione più difficile al problema. Ma questa opzione ti consentirà non solo di ripristinare il desktop, ma anche di salvare tutte le tue impostazioni con te. Per fare ciò, apri Editor del Registro di sistema a, vai al ramo del registro
hkey_current_user \ softvare \ microsoft \ internet explorer \ desktop \ schema
Lì troviamo il parametro mostra... Il valore del parametro deve essere modalità di salvataggio. Questo parametro proviene dal registro e notifica al sistema la presenza di un errore relativo al desktop. E quindi indica che è necessario includere questo molto modalità di salvataggio. uh quindi solo la stessa schermata con un errore. Non abbiamo bisogno di uno schermo del genere. Pertanto, cancelliamo questo parametro.

Dopo di che andiamo alla cartella
c:\documents and settings\%user%\appdata\microsoft\internet explorer\
ed elimina il file desktop.htt.È anche possibile che questo file non sia presente. Quindi rimuovi tutte le restrizioni sulla visualizzazione dei file nascosti e di sistema in questa cartella. Questo può essere fatto tramite la riga di comando utilizzando un comando o, ad esempio, utilizzando un programma come Total commander. Dopo aver trovato questo file, lo eliminiamo. A proposito, questo file può essere cancellato semplicemente attraverso, poiché conosciamo l'intero percorso. Per farlo, usa il comando del.

Dopo tutto questo, aggiorniamo il desktop. Se eseguita correttamente, la schermata di errore relativa alla necessità di ripristinare Active Desktop scomparirà. Buona fortuna!

AGGIORNAMENTO: La soluzione al problema per i più pigri: basta provare a selezionare qualche immagine come immagine di sfondo del desktop. A volte un'azione così semplice dà il risultato molto desiderato.

Active Directory in Windows Server 2008. Dovrebbero esserci più controller di dominio, questa è la regola d'oro che dovrebbe essere seguita in tutte le organizzazioni di medie e grandi dimensioni. Il principio di recovery in presenza di più controller cambia in modo significativo. Proviamo a capire perché. Supponiamo che tu abbia due controller di dominio denominati DC1 e DC2 (questi sono gli stessi controller di dominio). Entrambi avranno un database Active Directory identico e, se lo cambi su uno, si aggiornerà automaticamente sull'altro, questo è un processo di replica.

Ora definiamo la pianificazione del backup:

domenica- backup completo della partizione di sistema (descritto nella prima parte dell'articolo)

Lunedì sabato- creazione dello stato del sistema systemstate (descritto nella prima parte dell'articolo)

Tutto andava bene, ma giovedì, a causa di un problema, il controller di dominio DC1 ha smesso di funzionare. Hai diversi modi per ripristinare il controller, diamo un'occhiata.

• Il primo modo: ripristina lo stato del sistema eseguito mercoledì. Per fare ciò, è necessario avviare il controller in modalità DSRM (Directory Service Restore Mode) e utilizzare Windows Server Backup per ripristinare lo stato. Ma per questo, il controller deve essere caricato in DSRM, questo potrebbe non essere possibile.
• Modo due: se il controller non può essere caricato in DSRM, la procedura di ripristino inizia avviando il ripristino della partizione di sistema, il cui archivio è stato creato la domenica. Dopo aver ripristinato DC1 da questo archivio, il computer passa all'avvio normale.

E qui, nella prima opzione, nella seconda, compaiono due controller, i cui database di Active Directory non sono sincronizzati. DC1 ha la versione del database il giorno del backup e DC2 ha la versione corrente e più recente.

Quale versione avrà la precedenza?

Se effettui il ripristino nel modo che ho descritto nella prima parte dell'articolo, allora avrà la priorità il controller rimasto funzionante, nella nostra situazione è DC2. Qualsiasi cosa in Active Directory su DC1 dopo il ripristino verrà aggiornata allo stato DC2. Questo metodo è chiamato ripristino non autorevole.

O forse è questo Windows Server Backup?

Di recente mi sono imbattuto nella posizione di un dipendente Microsoft che ha risposto alla domanda su come ripristinare un controller di dominio, "Perché?". All'inizio ho pensato un po' se stesse scherzando, ma poi le sue argomentazioni mi sono diventate chiare. L'idea è la seguente. Nelle organizzazioni di medie dimensioni, di norma, ci sono 3-4-5 o più controller di dominio e la possibilità di perderli contemporaneamente è vicina allo 0. Per evitare questa possibilità, eseguiamo il backup solo di 2. In questo caso, il backup avviene di uno o quei controller che possiedono i ruoli FSMO e sono di particolare valore. Tutti gli altri vivono semplicemente le proprie vite e, se uno fallisce, installiamo un nuovo sistema operativo e creiamo un nuovo controller di dominio, va notato che nel tempo queste procedure saranno equivalenti.

Potresti voler smettere del tutto di fare copie, forse non perderemo tutto e i ruoli FSMO possono essere catturati se lo desideri. Il desiderio è completamente dannoso ed ecco perché. La perdita di oggetti di Active Directory non è solo una cancellazione accidentale di un utente, puoi cancellare accidentalmente un'unità organizzativa con tutto il suo contenuto con uno script e semplicemente restituire gli oggetti cancellati dal contenitore, non sarai in grado di ottenere tutto nel suo forma originale. E le modifiche sono già state replicate. E ogni controller è a conoscenza della cancellazione. In questa situazione, avrai bisogno di un backup.

Segui la regola - "Non ci sono backup non necessari"

Priorità di replica

Poiché durante il ripristino standard sul controller "riparato", Active Directory viene replicato dai controller di produzione, questo metodo non funzionerà per noi. Dobbiamo forzare la modifica della priorità di replica e replicare le informazioni dal controller ripristinato al resto. Questo è chiamato ripristino autorevole.

In Windows Server 2003, potremmo eseguire un ripristino autorevole in tre modi:

Ripristino hardware dell'intero database.

Questa procedura è stata eseguita utilizzando l'utilità ntdsutil. In Windows Server 2008, l'utilità ntdsutil è rimasta, ma ora non è possibile ripristinare forzatamente l'intero database.

Solo:

Forza il ripristino di un'unità organizzativa con contenuto

Per forzare il recupero di un singolo oggetto

Pertanto, dobbiamo sempre sapere quali oggetti sono stati eliminati. Naturalmente, non puoi tenere queste informazioni nella tua testa. A tale scopo, in Windows 2008 è stato creato lo "strumento di montaggio del database di Active Directory".

Lo strumento di montaggio del database di Active Directory è progettato per migliorare e semplificare specificamente il processo di ripristino del servizio directory. In Windows 2003, se avevamo molti archivi e non sapevamo quale contenesse le informazioni necessarie per il ripristino, dovevamo giocare alla roulette, ripristinando l'uno o l'altro archivio e controllandone il contenuto.

In Windows 2008, la situazione cambia. Utilizzando lo strumento di montaggio del database, possiamo visualizzare il contenuto del database per un particolare processo nel tempo.

Sfortunatamente, non possiamo visualizzare i contenuti AD per nessun periodo di interesse, ma solo in quei momenti in cui è stata creata l'istantanea. Dirò subito che Snapshot non è lo Snapshot a cui siamo abituati a usare VmWare. Contiene informazioni sulla presenza di oggetti nel database, ma non partecipa in alcun modo al ripristino di questi oggetti.

Da quanto sopra, possiamo concludere:

Per avere una visualizzazione aggiornata dei contenuti del backup, è necessario creare prima di esso uno snapshot. Il testo del file batch da eseguire prima di creare il backup dovrebbe essere il seguente:

ntdsutil.exe "attiva istanza NTDS" snapshot crea esci esci

Il file batch finito può essere scaricato "qui". Assicurati che l'istantanea abbia il tempo di finire prima di avviare il backup.

Riso. uno. Scattare un'istantanea di Active Directory

Il processo per ripristinare forzatamente un controller di dominio utilizzando lo stato del sistema. (stato di sistema)

Lo sfondo è che uno degli amministratori ha eliminato l'unità organizzativa "BetaTesters", che conteneva l'account oi record. Non lo sappiamo per certo. Le informazioni sull'eliminazione sono state replicate su tutti i controller di dominio. Abbiamo diversi archivi con Systemstate dei giorni precedenti. Non sappiamo esattamente quando l'unità organizzativa è stata eliminata.

Innanzitutto, dobbiamo scegliere quale stato del sistema ripristineremo. Non conosciamo la data di cancellazione. Per fare ciò, utilizzeremo le istantanee, che vengono create con noi poco prima del backup. Dopo aver lanciato l'utility ntdsutil, esaminiamo l'elenco degli snapshot del nostro AD.



Riso. 2. Visualizzazione delle istantanee di Active Directory disponibili

Per fare ciò, sulla riga di comando, digita ntdsutil -> snapshot -> Attiva istanza NTDS -> elenca tutto ... Di conseguenza, otterremo un elenco degli snapshot di Active Directory creati. La prima foto è stata scattata il 13 aprile. Inizierò con lui.

Nello stesso posto lo monto con la squadra montare con l'identificatore sostituito il primo snapshot di Active Directory. Un esempio è in Figura 3. Dopo questa operazione, avrai un oggetto di riferimento chiamato $ SNAP_date sull'unità C:. Entrandoci, vedrai la struttura del tuo disco di sistema al momento della creazione della copia.

Riso. 3. Montare uno snapshot di Active Director

L'istantanea è stata modificata. Apro la seconda finestra della riga di comando ed eseguo l'utility dsamain. Eseguiamo un comando complicato che consente di connettere lo snapshot come server LDAP. Nel comando, specifica il percorso del file ntds.dit nello snapshot montato e la porta del server LDAP (consiglio 50001)

Riso. 4. Utilizzo di dsamain.

Senza chiudere la finestra, avviare lo snap-in Utenti e computer di Active Directory. Scegliamo di connetterci a un altro controller di dominio.



Riso. 5. Cambia controller di dominio.

Nel menù che compare indicare la connessione a " Nome server: porta specificata in dsamain", Nella mia situazione è" CC: 50001»

Riso. 6. Scelta di un server LDAP

Facendo clic su "OK" entriamo nello snap-in "Utenti e computer di Active Directory", che contiene i dati per la lettura a partire dal momento in cui è stata creata l'istantanea di Active Directory. Trovo l'unità organizzativa "BetaTesters" e ha un utente chiamato "Rud Ilya". La conclusione può essere fatta come segue: poiché l'istantanea è stata creata il 13 aprile e contiene un'unità eliminata, è necessario ripristinare lo stato del sistema al 13 aprile.



Riso. 7. Visualizza le informazioni sull'istantanea AD.

Ricordarsi di smontare lo snapshot prima di riavviare in modalità di ripristino del servizio directory. Questo viene fatto dal comando unmount con l'identificatore dello snapshot.

Riso. otto. Smontare uno snapshot

Ora siamo pronti per riavviare uno dei controller di dominio in modalità di ripristino del servizio directory. Ho scritto come farlo nella prima parte dell'articolo. Tieni presente che durante il caricamento su DSRM, devi utilizzare il DSRM dell'amministratore, non quello del dominio.



Riso. 9. Accedi a DSRM. Specifica Nome_Computer \ Amministratore



Riso. 10. Elenco degli stati del sistema (SystemStates)

Dobbiamo ripristinare lo stato del sistema al 13 aprile, quindi il seguente comando sarebbe: wbadmin start systemstaterecovery -version: archive_create_time

Riso. 12. Il processo di ripristino dello stato del sistema.

Ogni oggetto Active Directory ha un numero di versione e se lo stesso oggetto ha numeri di versione diversi su due controller, l'oggetto corretto (più recente) viene considerato quello con la versione superiore. Dopo la fine del processo di ripristino, è necessario eseguire l'utilità ntdsutil e aumentare il numero di versione per il ramo di Active Directory remoto. Cioè, per il nostro contenitore.

Questo viene fatto come segue: ntdsutil -> Attiva istanza NTDS -> Ripristino autorevole -> ripristina sottostruttura " E indicare cosa dovrebbe essere forzatamente ripristinato ”. Un esempio è mostrato in Figura 13.

Riso. tredici. La scelta di ciò che sarà forzatamente ripristinato.

Risultato: Abbiamo forzatamente recuperato l'unità organizzativa con tutto il suo contenuto utilizzando gli snapshot di stato del sistema e Active Directory. In Windows Server 2008, possiamo forzare il ripristino di unità organizzative di tutto il contenuto o di oggetti specifici. Il comando "restore database" è stato rimosso da ntdsutil, quindi non saremo in grado di ripristinare forzatamente l'intero database di Active Directory.

Se stai ripristinando un archivio del disco di sistema di un controller di dominio e desideri forzare il ripristino di una parte di AD, subito dopo il ripristino, senza consentire l'avvio del controller in modalità normale, entriamo nella modalità di ripristino del servizio directory. E usando ntdsutil, indichiamo quale parte di AD dovrebbe essere forzatamente ripristinata.

Materiale fornito dalla risorsa

Si presuppone che si disponga di un backup di un controller di dominio.

Il backup viene eseguito utilizzando l'utilità ntbackup (per Windows 2000/2003) o l'utilità di archiviazione in Windows 2008/2008 R2. Per ripristinare, l'opzione Stato del sistema deve essere selezionata durante l'archiviazione.

Se l'archiviazione è stata eseguita da utilità di terze parti, è necessario fare riferimento all'aiuto di queste utilità per il ripristino.

Esecuzione di un ripristino di Active Directory regolare (non autorevole)

Questo ripristino ripristina tutti gli oggetti al momento del backup di AD.

1. Riavvia il computer premendo F8 in modalità ripristino directory.
2. Eseguire l'utilità NTDSUtil. Al prompt di ntdsutil, digitare files e premere Invio.
3. Alla richiesta di manutenzione dei file, eseguire il comando Intestazione e leggere le informazioni sui backup creati più di recente. Le informazioni sul backup eseguito dovrebbero essere contenute nel paragrafo Backup completo precedente.
4. Eseguire due volte il comando Esci per uscire da NTDSUtil.
5. Esegui l'utilità ntbackup. Fare clic sul collegamento Modalità avanzata e nella finestra Utilità di backup andare alla scheda Ripristina e gestisci supporti.
6. Nella scheda Ripristina e gestisci supporti, espandere il nodo del backup creato e selezionare la casella accanto alla riga Stato del sistema, quindi fare clic sul pulsante Avvia ripristino. Fare clic su OK nella finestra di avviso. Nella finestra Conferma ripristino, fare clic sul pulsante Avanzate e visualizzare le opzioni nella finestra Opzioni di ripristino avanzate. Chiudere la finestra Opzioni di ripristino avanzate e nella finestra Conferma ripristino fare clic sul pulsante OK.
7. Al termine del processo di backup, riavviare il computer in modalità normale.

Recupero in cui è possibile recuperare oggetti Active Directory eliminati separatamente

1. Riavviare il controller di dominio premendo F8 in modalità ripristino directory ed eseguire un ripristino completo del controller di dominio come nel caso precedente, ma al termine del ripristino, non riavviare.

2. Eseguire l'utility NTDSUtil e immettere il ripristino autorevole al prompt ntdsutil. Premi Invio.

3. Alla richiesta di ripristino autorevole, digitare un punto interrogativo e premere Invio. Leggi l'elenco dei comandi disponibili per questa modalità.

4. Al prompt di ripristino autorevole, immettere il comando restore subtree

OU = Utente_OU, DC = Dominio, DC = locale

5. Fare clic su Sì nella finestra di conferma.

OU = User_OU Nome del contenitore in fase di ripristino:

DC = Dominio Il tuo nome di dominio

DC = nome di dominio locale.

6. Eseguire doppio il comando quit per uscire da NTDSUtil e quindi riavviare il computer nella modalità normale.

7. Invia la replica con altri controller di dominio e assicurati che l'unità organizzativa User_OU con tutti gli oggetti collegati venga ripristinata su entrambi i controller di dominio.

Nessun argomento correlato ...

• database di Active Directory e registri delle transazioni;
• file di sistema e file di avvio protetti da Windows;
• registro di sistema del controller di dominio;
• Tutte le informazioni sulla zona DNS integrate con Active Directory;
• cartella Sysvol;
• database per la registrazione delle classi COM+;
• database del servizio certificati (se controller di dominioè anche un server di servizi certificati);
• informazioni sul servizio cluster;
• Metadirectory di Microsoft Internet Information Service (IIS) (se IIS è installato nel computer).

Tutti questi componenti devono essere copiati e ripristinati nella loro interezza a causa della loro stretta integrazione. Ad esempio, se un certificato è stato creato su un server del servizio certificati assegnato a un oggetto Active Directory, il database del servizio certificati (contenente la voce di creazione dell'oggetto) e l'oggetto Active Directory (contenente la voce che il certificato è stato assegnato al oggetto) deve essere salvato. ...

I programmi di backup possono eseguire vari tipi di backup, inclusi normali, incrementali, differenziati, ecc. Backup Lo stato del sistema del controller di dominio è sempre una copia normale quando tutti i file relativi allo stato del sistema ( Stato del sistema) vengono copiati e contrassegnati come copiati.

La prassi generale prevede che tutti i controller di dominio partecipino a un ciclo di backup regolare. È possibile fare un'eccezione a questa regola se nello stesso ufficio sono presenti più controller di dominio. In questo caso, è possibile eseguire tale procedura per il ripristino dei controller di dominio, in cui verrà installato prima uno nuovo. controller di dominio, quindi popola la sua directory tramite la replica. Tuttavia, anche in questo scenario, è necessario eseguire il backup di almeno alcuni controller di dominio in caso di emergenza in cui tutti i controller di dominio dell'ufficio sono fuori servizio. In entrambi i casi, è necessario eseguire il backup del master operazioni.

Un altro problema da considerare quando si esegue il backup di un controller di dominio è la frequenza del backup. Active Directory presuppone che l'età del backup non possa superare la durata degli oggetti commemorativi. Per impostazione predefinita, la durata di un oggetto monumento è di 60 giorni. Il motivo di questa limitazione ha a che fare con il modo in cui Active Directory utilizza gli oggetti commemorativi. Quando un oggetto viene eliminato, non viene effettivamente rimosso dalla directory fino alla scadenza della durata dell'oggetto commemorativo. Invece, l'oggetto viene contrassegnato come oggetto commemorativo e la maggior parte dei suoi attributi viene rimossa. L'oggetto memorial viene quindi copiato in tutti gli altri controller di dominio. Una volta scaduta la durata dell'oggetto contrassegnato per rimozione, viene infine rimosso dal catalogo in ogni controller di dominio. Se ripristini controller di dominio da un backup precedente alla durata della rimozione definitiva, nella directory potrebbero essere presenti informazioni incoerenti tra i controller di dominio. Supponiamo che un utente sia stato rimosso dalla directory un giorno dopo la creazione del backup e che l'oggetto commemorativo corrispondente sia rimasto nella directory per 60 giorni. Se il backup è stato ripristinato su un controller di dominio più di 60 giorni dopo che l'oggetto è diventato un oggetto commemorativo, il controller di dominio ripristinato avrebbe questo oggetto personalizzato, e poiché l'oggetto monumento non esiste più, allora controller di dominio non lo cancellerei. In tale scenario, il restaurato controller di dominio avrebbe una copia di un oggetto che non esiste in nessun'altra directory. Per questo motivo, il sistema di backup e il programma di ripristino impediscono i tentativi di ripristinare un catalogo da un backup che è stato archiviato più a lungo del periodo di eliminazione del monumento.

Sebbene la durata degli oggetti monumentali imponga una forte limitazione alla frequenza dei backup, è chiaro che è meglio eseguire il backup dei controller di dominio molto più spesso che ogni 60 giorni. Ci saranno molti problemi se ripristini controller di dominio da un backup più vecchio di un paio di giorni. Poiché il ripristino di Active Directory implica il ripristino di tutte le informazioni sullo stato del sistema, queste informazioni verranno ripristinate allo stato precedente. Se il server è anche un server di Servizi certificati, le credenziali emesse prima dell'esecuzione del backup non verranno incluse nel database di Servizi certificati. Se i driver sono stati aggiornati o sono state installate nuove applicazioni, non funzioneranno perché il registro verrà riportato a uno stato precedente. Quasi tutte le aziende supportano una modalità di backup in cui viene eseguito il backup di alcuni server ogni notte. I controller di dominio dovrebbero essere inclusi in questa modalità di ridondanza.

Processo di recupero

Esistono due motivi per cui potrebbe essere necessario ripristinare Active Directory [13].

• Il primo si verificherà quando il database diventa inutilizzabile perché uno dei controller di dominio ha un errore del disco rigido o il database è danneggiato al punto in cui non può più essere caricato.
• La seconda ragione sorgerà quando, a causa di un errore, qualcuno ha cancellato unità organizzativa contenente diverse centinaia di account utente e di gruppo. In questo caso, è più desiderabile ripristinare le informazioni che reinserirle.

Se si prevede di ripristinare Active Directory perché il database su uno dei controller di dominio non può più essere utilizzato, sono disponibili le due seguenti opzioni di processo [13].

• La prima opzione è non ripristinare affatto Active Directory sul server guasto, ma crearne un altro controller di dominio designando un altro server che esegue Windows Server 2003 come controller di dominio. Ciò ripristinerà la funzionalità del controller di dominio e non il servizio Active Directory sul controller di dominio specifico.
• La seconda opzione è ripristinare il server guasto e quindi ripristinare il database di Active Directory su quel server. In tal caso si procederà al recupero non autoritativo. Con questo ripristino, il database di Active Directory viene ripristinato su un controller di dominio e quindi tutte le modifiche apportate ad Active Directory dopo che il backup viene replicato nel ripristino controller di dominio.

Se si prevede di ripristinare Active Directory perché qualcuno ha eliminato un numero elevato di oggetti dalla directory, è necessario ripristinare il database di Active Directory su uno dei controller di dominio utilizzando un backup che contiene gli oggetti eliminati. Quindi è necessario eseguire il ripristino autorevole, durante il quale tutti i dati recuperati vengono contrassegnati in modo che vengano replicati su tutti gli altri controller di dominio, sovrascrivendo le informazioni cancellate.

Per ripristinare Active Directory, è necessario eseguire il backup dei dati sullo stato del servizio [4], [6]: registro, database di registrazione COM +, file di avvio del sistema e database dei servizi di certificazione (se si tratta di un server di servizi di certificazione). Quando si riavvia il computer in modalità Ripristino servizi directory, è necessario accedere con i diritti di amministratore utilizzando il nome e la password dell'account Security Accounts Manager corretti. Tuttavia, non è possibile utilizzare l'account amministratore di Active Directory perché i servizi di Active Directory sono disabilitati e non possono essere autenticati da essi. Il database dell'account viene utilizzato per questo.