Windows Server 2003 Active Directory-Betriebshandbuch

Einführung in die Administration der Active Directory-Sicherung und -Wiederherstellung

Active Directory-Sicherungen müssen in den täglichen Betrieb mit einbezogen werden. Sie müssen festlegen, welche Domänencontroller gesichert werden sollen. Die Wiederherstellung gehört im Gegensatz zur Sicherung nicht zu den täglichen Aufgaben. Sie wird nur dann ausgeführt, wenn es zu Problemen mit Domänencontrollern kommt.

Systemstatus-Komponenten

Active Directory wird als Teil des Systemstatus gesichert. Der Systemstatus setzt sich aus verschiedenen Systemkomponenten, die voneinander abhängen, zusammen. Diese Komponenten müssen zusammen gesichert und wiederhergestellt werden.

Auf einem Domänencontroller gehören die folgenden Komponenten zum Systemstatus:

Wenn Sie Cluster- oder Zertifikatsdienste auf einem Domänencontroller installieren, müssen auch diese Komponenten gesichert werden.

Sinn regelmäßiger Sicherungen

Für die folgenden Aufgaben benötigen Sie eine aktuelle, überprüfte und zuverlässige Sicherung:

Anforderungen und Empfehlungen für die Wiederherstellung

Der Tombstone-Lebensdauer-Wert einer Active Directory-Gesamtstruktur legt fest, wie lange in Tagen ein Domänencontroller gelöschte Objekte vorhält. Er definiert somit gleichzeitig den Zeitraum, über den eine Sicherung für eine Wiederherstellung brauchbar ist. Active Directory schützt sich selbst vor einer Wiederherstellung von Daten, die älter sind als die Tombstone-Lebensdauer.

Wichtig

Sie sollten auf keinen Fall versuchen, über eine Änderung der Systemuhr eine zu alte Sicherung wiederherzustellen.

Die Wiederherstellung des Systemstatus sollte als letzte Option durchgeführt werden - nicht als Standardverfahren.

Richtlinien für die Sicherung

Die folgenden Richtlinien stellen sicher, dass die Active Directory-Daten korrekt gesichert werden:

Anmerkung

Eine Sicherung kann nur zur Wiederherstellung auf dem Domänencontroller dienen, auf dem sie gemacht wurde. Alternativ können jedoch neue in der gleichen Domäne erstellt werden. Es ist nicht möglich, mit einer Sicherung einen anderen Domänencontroller wiederherzustellen oder einen neuen Domänencontroller auf einer anderen Hardware zu installieren. Eine Sicherung eines Domänencontrollers unter Windows 2000 Server kann natürlich nicht zur Wiederherstellung eines Domänencontrollers unter Windows Server 2003 verwendet werden.

Sicherungshäufigkeit

Die Häufigkeit der Sicherung hängt von Kriterien ab, die von Umgebung zu Umgebung unterschiedlich sind. In den meisten Umgebungen werden täglich Änderungen an Verzeichnisobjekten vorgenommen. Computerkonten (inklusive Domänencontroller) ändern ihr Kennwort zum Beispiel standardmäßig alle 30 Tage. Dies führt dazu, dass sich wahrscheinlich jeden Tag ein paar Computerkennwörter ändern werden. Das Wiederherstellen von Computerkennworten kann sich auf die Authentifizierung und die Replikation auswirken. Ähnliches gilt zum Beispiel für die Benutzerkennwörter. Grundsätzlich kann man sagen, dass die potenziellen Probleme mit steigender Sicherungshäufigkeit abnehmen.

Je mehr Active Directory-Objekte und Domänencontroller es gibt, desto häufiger sollten Sicherungen durchgeführt werden. In großen Organisationen kann es zum Beispiel sein, dass Sie nach einer Wiederherstellung einer versehentlich gelöschten OU aus einer mehrere Tage oder Wochen alten Sicherung hunderte von Benutzerkonten neu erstellen müssen.

Kriterien für die Sicherungshäufigkeit

Mit den folgenden Kriterien können Sie die Sicherungshäufigkeit bestimmen:

Steigern Sie die Häufigkeit der Sicherungen so lange, bis Sie sicher gehen können, dass seit der letzten Sicherung erstellte und geänderte (und somit verlorene Objekte) nicht zu schwerwiegenden Problemen des Betriebsablaufes führen. Umfangreiche Änderungen sollten daher zu einer sofortigen Sicherung führen.

Anmerkung

Sie sollten immer mindestens zwei Domänencontroller in jeder Domäne einsetzen.

Sofortige Sicherung

Zusätzlich zu den regelmäßigen Sicherungen sollte in den folgenden Situationen eine sofortige Sicherung durchgeführt werden:

Sicherungs-Latenzintervall

Auf Domänencontrollern unter Windows Server 2003 mit Service Pack 1 (SP1) gibt es ein neues Ereignis (ID 2089), das den Sicherungsstatus eines jeder Partition anzeigt, die auf dem Domänencontroller vorhanden ist - inklusive von Anwendungspartitionen. Das Ereignis wird dann angezeigt, wenn Partitionen nicht regelmäßig genug gesichert werden. Regelmäßig bedeutet hierbei, dass die Sicherungshäufigkeit unter dem Latenzintervall liegen muss. Das Latenzintervall wird in der Registrierung unter dem Eintrag Backup Latency Threshold (days) unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters gespeichert.

Standardmäßig ist Backup Latency Threshold (days) halb so groß wie die Tombstone-Lebensdauer. Wenn eine Partition nach der halben Lebensdauer noch nicht gesichert wurde, wird also das Ereignis 2089 angezeigt. Dies wiederholt sich täglich so lange, bis die Partition gesichert wurde.

Das Ereignis soll Administratoren warnen und entsprechende Anwendungen auf das Fehlen der Sicherung hinweisen. Es wird allerdings empfohlen, Sicherungen weit häufiger durchzuführen.

Siehe auch

Installation eines Domänencontrollers in einer bestehenden Domäne mithilfe von Sicherungsmedien

Zum Seitenanfang

Verwaltung der Active Directory-Sicherung und -Wiederherstellung

Mit den folgenden Verfahren können Sie Active Directory sichern und wiederherstellen:

Sichern von Active Directory-Komponenten

Benennung von Sicherungsdateien

Um eine korrekte Handhabung der Sicherungsdateien zu gewährleisten, sollten die .bkf-Dateien nach den folgenden Vorgaben benannt werden:

DC1.CONTOSO.COM.3790.SP0.GC.MD5.60.2005.07.01.BKF

Eine Sicherung von DC1 vom 1.7.2005 bleibt bis zum 29.8.2005 gültig. Für die nächsten 60 Tage können Sie die Sicherung zur Werderherstellung nutzen.

Anforderungen

Um die unten beschriebenen Aufgaben ausführen zu können, sind die folgenden Tools notwendig:

Abhängig von Ihren Anforderungen müssen Sie die folgenden Schritte ausführen:

Siehe auch

Installation eines Domänencontrollers in einer bestehenden Domäne mithilfe von Sicherungsmedien

Hinzufügen von Domäencontrollern an Remotestandorten

Sicherung des Systemstatus

Wenn Sie den Systemstatus mit Ntbackup.exe sichern, können Sie die geschützten Systemdateien mit sichern oder nicht. Diese Dateien sind für eine Installation mithilfe einer wiederhergestellten Sicherung nicht notwendig - in diesem Fall können Sie die Option deaktivieren. Sie verkleinern so die Größe der Sicherungsdatei und verringern den notwendigen Zeitaufwand.

Mit den folgenden Verfahren können Sie nur den Systemstatus sichern. Das Systemvolumen oder andere Daten auf dem Domänencontroller werden nicht berücksichtigt.

Mit dem ersten Verfahren, "Sicherung des Systemstatus inklusive der geschützten Systemdateien", können Sie Routinesicherungen des Systemstatus durchführen. Mit dem zweiten Verfahren, "Sicherung des Systemstatus exklusive der geschützten Systemdateien", können Sie eine kleinere Sicherung durchführen, die zur Installation von Domänencontrollern über Sicherungsmedien verwendet werden kann.

Anmerkung

Um den Systemstatus sichern zu können, müssen Sie als lokaler Administrator am Domänencontroller angemeldet sein. Alternativ muss der Remotedesktop aktiviert sein.

Administrative Berechtigungen

Um die folgenden Verfahren ausführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins oder Sicherungsoperatoren sein.

"Sicherung des Systemstatus" inklusive der geschützten Systemdateien

"Sicherung des Systemstatus" exklusive der geschützten Systemdateien

Siehe auch

Aktivieren von Remotedesktop"

Erstellen einer Remotedesktopverbindung"

Sicherung des Systemstatus" und des Systemvolumens

Mit diesem Verfahren können Sie den Systemstatus und das Systemvolumen sichern.

Anmerkung

Sie müssen lokal am Domänencontroller angemeldet sein. Alternativ muss Remotedesktop aktiviert sein.

Administrative Berechtigungen

Sie müssen Mitglied der Gruppe Domänen-Admins oder der Gruppe Sicherungsoperatoren sein.

"Sicherung des Systemstatus" und des Systemvolumens

Siehe auch

Aktivieren von Remotedesktop"

Erstellen einer Remotedesktopverbindung"

Durchführen einer nicht autorisierenden Wiederherstellung eines Domänencontrollers

Die nicht autorisierende Wiederherstellung ist das Standardverfahren zur Wiederherstellung von Active Directory. Um sie durchführen zu können, müssen Sie in der Lage sein, den Domänencontroller im Verzeichnisdienstwiederherstellungsmodus zu starten. Nachdem Sie den Domänencontroller wiederhergestellt haben, wird das Active Directory über die normale Replikation aktualisiert.

Eine nicht autorisierende Wiederherstellung versetzt den Domänencontroller in den Status, den er zum Zeitpunkt der Sicherung hatte, und überschreibt diesen Status dann mit allen seit diesem Zeitpunkt erfolgten Änderungen.

Wenn Sie gelöschte Objekte wiederherstellen möchten, sollten sie hingegen eine autorisierende Wiederherstellung durchführen.

Anmerkung

Durch eine nicht autorisierende Wiederherstellung wird auch automatisch eine nicht autorisierende Wiederherstellung von SYSVOL durchgeführt.

Anforderungen

Um die unten beschriebene Aufgabe ausführen zu können, sind die folgenden Tools erforderlich:

Um diese Aufgabe auszuführen, sind die folgenden Schritte erforderlich:

Siehe auch

Durchführen einer autorisierenden Wiederherstellung von Active Directory-Objekten"

Aktivieren von Remotedesktop"

Erstellen einer Remotedesktopverbindung"

Lokaler Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus

Wenn Sie physischen Zugriff auf den Domänecontroller haben, können Sie diesen lokal im Verzeichnisdienstwiederherstellungsmodus starten.

Im Verzeichnisdienstwiederherstellungsmodus wird das lokale Administratorkonto über die Security Accounts Manager-Datenbank (SAM) überprüft. Daher benötigen Sie das Wiederherstellungskennwort - nicht das normale Administratorkennwort.

Administrative Berechtigungen

Um dieses Verfahren durchführen zu können, benötigen Sie das Verzeichnisdienstwiederherstellungskennwort.

"Lokaler Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus"

Siehe auch

"Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus von einem Remotestandort aus"

Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus von einem Remotestandort aus

Wenn Remotedesktop auf dem Domänencontroller aktiviert ist, können Sie eine Remotedesktopverbindung nutzen.

Mit einer Remotedesktopverbindung müssen Sie zuerst die Datei Boot.ini bearbeiten, bevor Sie den Domänencontroller remote im Verzeichniswiederherstellungsmodus starten können - ansonsten verlieren Sie beim Neustart die Verbindung zum Domänencontroller.

Zum Start im Verzeichnisdienstwiederherstellungsmodus sind das lokale Administratorkonto und das Wiederherstellungskennwort notwendig. Dieses wird von der lokalen SAM authentifiziert.

Administrative Berechtigungen

Um dieses Verfahren durchführen zu können, müssen Sie das Administratorkennwort für den Verzeichnisdienstwiederherstellungsmodus kennen.

"Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus von einem Remotestandort aus"

Siehe auch

Aktivieren von Remotedesktop"

Erstellen einer Remotedesktopverbindung"

Lokaler Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus"

Wiederherstellung mithilfe eines Sicherungsmediums

Anmerkung

Zur Wiederherstellung müssen Sie sich lokal am Domänencontroller oder über eine Remotedesktopverbindung anmelden.

Administrative Berechtigungen

Um dieses Verfahren durchführen zu können, müssen Sie das Administratorkennwort für den Verzeichnisdienstwiederherstellungsmodus kennen.

"Wiederherstellung mithilfe eines Sicherungsmediums"

Siehe auch

Lokaler Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus"

Aktivieren von Remotedesktop"

Erstellen einer Remotedesktopverbindung"

Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus von einem Remotestandort aus"

Wiederherstellen des Systemstatus an einem anderen Speicherort"

Durchführen einer autorisierenden Wiederherstellung von Active Directory-Objekten"

Überprüfen der Active Directory-Wiederherstellung

Nach einer Wiederherstellung sollten Sie diese überprüfen.

Administrative Berechtigungen

Um dieses Verfahren ausführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins sein.

"Überprüfen der Active Directory-Wiederherstellung"

Durchführen einer autorisierenden Wiederherstellung von Active Directory-Objekten

Eine autorisierende Wiederherstellung versetzt die entsprechenden Objekte oder Container in den Status, den diese zum Zeitpunkt der Sicherung gehabt haben. Sie können eine autorisierende Wiederherstellung zum Beispiel dann durchführen, wenn versehentlich eine OU und eine größere Anzahl von Benutzern gelöscht wurden. Mit einer nicht autorisierenden Wiederherstellung ist keine Wiederherstellung von gelöschten Objekten möglich. Dies liegt daran, dass die wiederhergestellten Objekte in diesem Fall nach der Wiederherstellung mit den seit der Sicherung aufgetretenen Änderungen (zum Beispiel der Löschung) aktualisiert wurden.

Wenn Sie Objekte für eine autorisierende Wiederherstellung markieren, wird deren Versionsnummer so weit erhöht, dass diese größer ist als die Versionsnummer des aktuellen (gelöschten) Objektes. Diese Änderung führt dazu, dass die so wiederhergestellten Daten repliziert und die vorhandenen Daten überschrieben werden.

Eine autorisierende Wiederherstellung sollte nicht zur Wiederherstellung eines ganzen Domänencontrollers oder als Teil einer Änderung der Infrastruktur verwendet werden.

Wiederherstellung von Gruppenmitgliedschaften nach einer autorisierende Wiederherstellung

Wenn ein Benutzerobjekt versehentlich gelöscht wurde, können Sie es mit einer autorisierenden Wiederherstellung wiederherstellen. Es kann allerdings sein, dass die Gruppenmitgliedschaften des Benutzers mit diesem Verfahren nicht wiederhergestellt werden - dies hängt von der Funktionsebene der Gesamtstruktur und vom Zeitpunkt der Erstellung der Gruppe, der der Benutzer angehört, ab.

LVR und die Wiederherstellung von Gruppenmitgliedschaften

Die Wiederherstellung von Gruppenmitgliedschaften hängt davon ab, ob die Gruppe vor oder nach der Implementierung einer Windows Server 2003-Funktionalität mit dem Namen LVR (Linked-Value Replication) erstellt wurde. LVR ist ein Feature, das erst zur Verfügung steht, wenn die Funktionsebene der Gesamtstruktur Windows Server 2003-interim oder Windows Server 2003 ist. Bei Gruppen, die vorher erstellt wurden, wird das Mitglieder-Attribut als Einzelwert repliziert. Daher führt jede Änderung der Gruppenmitgliedschaften zu einer Replikation des gesamten Attributes. In den Gruppen, die mit LVR erstellt wurden, werden Aktualisierungen des Gruppenmitglieder-Attributes einzeln repliziert. Dies führt dazu, dass bei einer autorisierenden Wiederherstellung auch die Gruppenmitgliedschaften wiederhergestellt werden.

Das Attribut memberOf (forward-link) verweist nur auf das member-Attribut (backward-link). Daher ist es für eine Wiederherstellung der Gruppenmitgliedschaften notwendig, das member-Attribut der jeweiligen Gruppe zu aktualisieren.

Anmerkung

Nur forward-link-Attributwerte können aktualisiert und repliziert werden. Back-link-Attributwerte werden nur generiert, wenn auf sie zugegriffen wird. Sie werden nicht gespeichert.

Die Version von Ntdsutil, die mit Windows Server 2003 Service Pack 1 (SP1) zur Verfügung stellt wird verfügt über weiter verfeinerte Möglichkeiten zur Wiederherstellung von Gruppenmitgliedschaften, die vor der Nutzung von LVR erstellt wurden.

Verbesserung der autorisierenden Wiederherstellung unter Windows Server 2003 SP1

Unter Windows Server 2003 mit SP1 erstellt Ntdsutil jetzt eine Textdatei mit den autorisierend wiederhergestellten Objekten und nutzt diese Datei, um eine LDIF-Datei zu erstellen. Diese Datei kann dann dazu genutzt werden, alle back-links der wiederhergestellten Objekte zu erneuern. Sie müssen diesen Vorgang in jeder Domäne Ihrer Gesamtstruktur durchführen.

Sie beginnen eine autorisierende Wiederherstellung immer mit einer nicht autorisierenden Wiederherstellung von einem Sicherungsmedium. Dann führen Sie die zusätzlich für die autorisierende Wiederherstellung erforderlichen Schritte aus und stellen, wenn notwendig, die Gruppenmitgliedschaften wieder her.

Verfahren für Domänencontroller unter Windows Server 2003 SP1

Dieses Verfahren schließt das Erstellen eine LDIF-Datei zur Wiederherstellung von Gruppenmitgliedschaften mit ein.

Anforderungen

Um die unten beschriebenen Aufgaben ausführen zu können, sind die folgenden Tools notwendig:

Verfahren für Domänencontroller unter Windows Server 2003 ohne Service Pack

Anmerkung

Wenn zu den gelöschten Objekten keine Gruppen gehören, können Sie die Schritte 3 bis 10 überspringen. Sollte es in den gelöschten Gruppen nur Objekte geben, die ebenfalls gelöscht wurden, können Sie die Schritte ebenfalls überspringen.

Wiederherstellung mithilfe eines Sicherungsmediums

Anmerkung

Zur Wiederherstellung müssen Sie sich lokal am Domänencontroller oder über eine Remotedesktopverbindung anmelden.

Administrative Berechtigungen

Um dieses Verfahren durchführen zu können, müssen Sie das Administratorkennwort für den Verzeichnisdienstwiederherstellungsmodus kennen.

"Wiederherstellung mithilfe eines Sicherungsmediums"

Siehe auch

Lokaler Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus"

Aktivieren von Remotedesktop"

Erstellen einer Remotedesktopverbindung"

Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus von einem Remotestandort aus"

Wiederherstellen des Systemstatus an einem anderen Speicherort"

Durchführen einer autorisierenden Wiederherstellung von Active Directory-Objekten"

Markieren von Objekten als autorisierend

Mit diesem Verfahren wählen Sie aus, welche Objekte als autorisierend markiert werden.

Administrative Berechtigungen

Um dieses Verfahren durchführen zu können, müssen Sie das Administratorkennwort für den Verzeichnisdienstwiederherstellungsmodus kennen.

"Markieren von Objekten als autorisierend"

Synchronisation der Replikation mit allen Partnern

Administrative Berechtigungen

Um dieses Verfahrung durchführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins in der Domäne des entsprechenden Domänencontrollers oder der Gruppe Organisations-Admins sein. Wenn Sie die Schema- und Konfigurationspartition synchronisieren möchten, müssen Sie Domänen-Admin in der Stammdomäne oder Organisations-Admin sein.

"Synchronisation der Replikation mit allen Partnern"

Siehe auch

Überprüfen der erfolgreichen Replikation mit einem anderen Domänencontroller"

Ausführen einer LDIF-Datei zur Wiederherstellung von Back-Links

Mit der autorisierenden Wiederherstellung wird mit SP1 eine LDIF-Datei ausgegeben, mit der die Back-Links aktualisiert werden können. Sie müssen für jedes wiederherzustellende Objekt die LDIF-Datei auf einem Domänencontroller in jeder Domäne, in denen es Gruppen gibt in denen das Objekt Mitglied ist ausführen.

Anmerkung

Dieses Verfahren ist nur für Benutzer-, Gruppen- und Computerobjekte wichtig - trotzdem wirkt es sich auf alle wiederhergestellten Objekte aus, die über Back-Link-Attribute verfügen.

Administrative Berechtigungen

Um dieses Verfahrung durchführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins in der Domäne des Domänencontrollers sein, auf dem Sie die Befehle ausführen.

"Ausführen einer LDIF-Datei zur Wiederherstellung von Back-Links"

Siehe auch

Erstellen einer LDIF-Datei zur Wiederherstellung von Back-Links"

Lokaler Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus

Wenn Sie physischen Zugriff auf den Domänecontroller haben, können Sie diesen lokal im Verzeichnisdienstwiederherstellungsmodus starten.

Im Verzeichnisdienstwiederherstellungsmodus wird das lokale Administratorkonto über die Security Accounts Manager-Datenbank (SAM) überprüft. Daher benötigen Sie das Wiederherstellungskennwort - nicht das normale Administratorkennwort.

Administrative Berechtigungen

Um dieses Verfahren durchführen zu können, benötigen Sie das Verzeichnisdienstwiederherstellungskennwort.

"Lokaler Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus"

Siehe auch

"Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus von einem Remotestandort aus"

Erstellen einer LDIF-Datei zur Wiederherstellung von Back-Links

Mit dem folgenden Verfahren können Sie eine LDIF-Datei zur Wiederherstellung der Back-Links erstellen. Führen Sie das Verfahren auf einem Domänencontroller der Domäne mit den Back-Links aus.

Bevor Sie das Verfahren ausführen, muss folgendes erledigt sein:

Führen Sie dieses Verfahren aus, wenn der Domänencontroller noch im Verzeichnisdienstwiederherstellungsmodus ist.

Administrative Berechtigungen

Sie benötigen das Administratorkennwort für den Verzeichnisdienstwiederherstellungsmodus.

"Erstellen einer LDIF-Datei zur Wiederherstellung von Back-Links"

Siehe auch

Wiederherstellung mithilfe eines Sicherungsmediums"

Ausführen eine LDIF-Datei zur Wiederherstellung von Back-Links

Deaktivieren der eingehenden Replikation

Administrative Berechtigungen

Um dieses Verfahrung durchführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins in der Domäne des Domänencontroller sein, dessen Replikation Sie deaktivieren möchten, oder der Gruppe Organisations-Admins sein.

"Deaktivieren der eingehenden Replikation"

Siehe auch

Aktivieren der eingehenden Replikation"

Aktivieren der eingehenden Replikation

Administrative Berechtigungen

Um dieses Verfahrung durchführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins in der Domäne des Domänencontroller sein, dessen Replikation Sie aktivieren möchten, oder der Gruppe Organisations-Admins sein.

"Aktivieren der eingehenden Replikation"

Siehe auch

Deaktivieren der eingehenden Replikation"

Durchführen einer autorisierenden Wiederherstellung einer Anwendungspartition

Mit diesem Verfahren markieren Sie alle Daten in der Anwendungspartition als autorisierend. Die entsprechenden Daten werden auf alle Domänencontroller repliziert, die die Anwendungspartition hosten.

Anforderungen

Um die unten beschriebenen Aufgaben ausführen zu können, sind die folgenden Tools notwendig:

Um diese Aufgabe auszuführen, sind die folgenden Schritte erforderlich:

Wiederherstellung mithilfe eines Sicherungsmediums

Anmerkung

Zur Wiederherstellung müssen Sie sich lokal am Domänencontroller oder über eine Remotedesktopverbindung anmelden.

Administrative Berechtigungen

Um dieses Verfahren durchführen zu können, müssen Sie das Administratorkennwort für den Verzeichnisdienstwiederherstellungsmodus kennen.

"Wiederherstellung mithilfe eines Sicherungsmediums"

Siehe auch

Lokaler Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus"

Aktivieren von Remotedesktop"

Erstellen einer Remotedesktopverbindung"

Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus von einem Remotestandort aus"

Wiederherstellen des Systemstatus an einem anderen Speicherort"

Durchführen einer autorisierenden Wiederherstellung von Active Directory-Objekten"

Markieren der Anwendungspartition als autorisierend

Vor diesem Verfahren müssen Sie eine nicht autorisierende Wiederherstellung abgeschlossen haben. Der Domänencontroller darf jedoch nicht neu gestartet werden, sondern muss im Verzeichnisdienstwiederherstellungsmodus verbleiben.

Administrative Berechtigungen

Sie benötigen das Administratorkennwort für den Verzeichnisdienstwiederherstellungsmodus.

"Markieren der Anwendungspartition als autorisierend"

Durchführen einer autorisierenden Wiederherstellung eines Gruppenrichtlinienobjektes

Sie können sowohl gelöschte GPOs wiederherstellen als auch geänderte GPOs. Die ursprüngliche GPO GUID bleibt auch dann erhalten, wenn das GPO gelöscht wurde. Wenn Sie GPOs importieren, ist dies nicht der Fall (dieses Verfahren wird weiter unten besprochen).

Eine Wiederherstellung ersetzt die folgenden Komponenten eines GPOs:

Es werden keine SOM-Links wiederhergestellt (Scope of Management). Alle vorhandenen Links werden weiterhin verwendet. Wenn ein GPO jedoch gelöscht wurde, müssen die Links nach der Wiederherstellung neu erstellt werden.

Weitere Informationen finden Sie im Dokument Administering Group Policy with the GPMC unter http://go.microsoft.com/fwlink/?LinkId=17528 (engl.).

Anforderungen

Um die unten beschriebene Aufgabe ausführen zu können, sind die folgenden Tools erforderlich:

Um diese Aufgabe auszuführen, sind die folgenden Schritte erforderlich:

Wiederherstellen eines GPOs

Administrative Berechtigungen

Sie benötigen die Rechte Bearbeiten, Löschen und Ändern für das GPO.

"Wiederherstellen eines GPOs"

Wiederherstellung eines Domänencontrollers über eine Neuinstallation" gefolgt von einer Wiederherstellung einer Sicherung

Wenn Sie den Domänencontroller nicht im Wiederherstellungsmodus starten können, haben Sie noch die Möglichkeit, diesen über eine Neuinstallation des Betriebssystems und einer nachfolgenden Wiederherstellung von Active Directory aus einer Sicherung wiederherzustellen.

Führen Sie nach der Installation von Windows Server 2003 eine nicht autorisierende Wiederherstellung des Systemstatus und des Systemvolumens durch.

Ein solches Verfahren kann zum Beispiel in den folgenden Situationen notwendig werden:

Anforderungen

Um die unten beschriebene Aufgabe ausführen zu können, sind die folgenden Tools erforderlich:

Um diese Aufgabe auszuführen, sind die folgenden Schritte erforderlich:

Wiederherstellung mithilfe eines Sicherungsmediums

Anmerkung

Zur Wiederherstellung müssen Sie sich lokal am Domänencontroller oder über eine Remotedesktopverbindung anmelden.

Administrative Berechtigungen

Um dieses Verfahren durchführen zu können, müssen Sie das Administratorkennwort für den Verzeichnisdienstwiederherstellungsmodus kennen.

"Wiederherstellung mithilfe eines Sicherungsmediums"

Siehe auch

Lokaler Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus"

Aktivieren von Remotedesktop"

Erstellen einer Remotedesktopverbindung"

Neustart des Domänencontrollers im Verzeichnisdienstwiederherstellungsmodus von einem Remotestandort aus"

Wiederherstellen des Systemstatus an einem anderen Speicherort"

Durchführen einer autorisierenden Wiederherstellung von Active Directory-Objekten"

Überprüfen der Active Directory-Wiederherstellung

Nach einer Wiederherstellung sollten Sie diese überprüfen.

Administrative Berechtigungen

Um dieses Verfahren ausführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins sein.

"Überprüfen der Active Directory-Wiederherstellung"

Wiederherstellung eines Domänencontrollers über eine Neuinstallation

Dieser Prozess entspricht der Neuinstallation eines Domänencontrollers. Damit der Domänencontroller in einen funktionierenden Zustand versetzt werden kann, ist eine Replikation notwendig. Das Verfahren kann nur durchgeführt werden, wenn es noch mindestens einen zweiten Domänencontroller in der Domäne gibt. Es wird normalerweise dann angewendet, wenn der Computer ausschließlich als Domänencontroller arbeitet.

Wenn der Domänencontroller nicht gesichert wurde, ist dieses Verfahren die einzige Möglichkeit einer Wiederherstellung. Es sollte jedoch nicht als Ersatz für eine regelmäßige Sicherung angesehen werden.

Einer der wichtigsten Faktoren für dieses Verfahren ist die verfügbare Bandbreite. Die erforderliche Bandbreite steht im direkten Verhältnis mit der Größe der Active Directory-Datenbank. Im Idealfall sollte sich der replizierende Domänencontroller am gleichen Standort wie der neue Domänencontroller befinden.

Anforderungen

Um die unten beschriebenen Aufgaben ausführen zu können, sind die folgenden Tools notwendig:

Um diese Aufgabe auszuführen, sind die folgenden Schritte erforderlich:

Bereinigen der Metadaten

Die Bereinigung der Metadaten wird mit Ntdsutil.exe durchgeführt. Es entfernt alle Daten aus Active Directory, die einen Domänencontroller identifizieren. Unter Windows Server 2003 Service Pack 1 (SP1) entfern das Verfahren außerdem automatisch FRS-Verbindungen und versucht, alle Betriebsmasterrollen, die der alte Domänencontroller innehatte, zu übertragen oder zu übernehmen.

Administrative Berechtigungen

Um das Verfahren durchführen zu können, müssen Sie Mitglied der Gruppe Organisations-Admins sein.

"Bereinigen der Metadaten"

Löschen eines Serverobjektes aus einem Standort

Wenn es unter dem Server in Active Directory-Standorte und -Dienste keine Unterobjekte mehr gibt, können Sie das Serverobjekt entfernen.

Administrative Berechtigungen

Um dieses Verfahrung durchführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins sein.

"Löschen eines Serverobjektes aus einem Standort"

Löschen eines Computerobjektes aus der OU Domain Controllers

Administrative Berechtigungen

Um dieses Verfahrung durchführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins sein.

"Löschen eines Computerobjektes aus der OU Domain Controllers"

Siehe auch

Das Entfernen eines Domänencontrollers erzwingen"

Bereinigen der Metadaten"

Löschen eines Serverobjektes aus einem Standort"

Überprüfung der DNS-Registrierung und -Funktionalität

Administrative Berechtigungen

Um die folgenden Schritte ausführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins oder der Gruppe Organisations-Admins sein.

"Überprüfung der DNS-Registrierung und -Funktionalität"

Überprüfen der Kommunikation mit anderen Domänencontrollern

Administrative Berechtigungen

Um die folgenden Schritte ausführen zu können, müssen Sie Mitglied der Gruppe Domänenbenutzer sein.

"Überprüfen der Kommunikation mit anderen Domänencontrollern"

Überprüfen der Verfügbarkeit der Betriebsmaster

Administrative Berechtigungen

Um die folgenden Schritte ausführen zu können, müssen Sie Mitglied der Gruppe Domänenbenutzer sein.

Anmerkung

Sie können diese Tests vor und nach der Installation von Active Directory ausführen. Vor der Installation müssen Sie die Option /s zum Angeben des verwendeten Domänencontrollers nutzen. Nach der Installation ist die Option nicht mehr notwendig.

"Überprüfen der Verfügbarkeit der Betriebsmaster"

Installieren von Active Directory

Administrative Berechtigungen

Um die folgenden Schritte ausführen zu können, müssen Sie Mitglied der Gruppe Domänen-Admins sein.

"Installieren von Active Directory"

Zum Seitenanfang

7 von 11