¿Cómo restaurar Active Directory desde una copia de seguridad?

En este artículo, mostraremos cómo restaurar el controlador de dominio de Active Directory desde una copia de seguridad del estado del sistema creada anteriormente (consulte el artículo Copia de seguridad de Active Directory) y analizaremos los tipos y principios de la recuperación de AD DC.

Supongamos que su controlador de dominio AD ha fallado y desea restaurarlo desde una copia de seguridad. Antes de comenzar a restaurar su DC, debe comprender qué escenario usar. Depende de si tiene otros controladores de dominio en su red y el estado de la base de datos de Active Directory en ellos.

¿Cómo restaurar un controlador de dominio mediante la replicación?

La recuperación de DC a través de la replicación de AD estándar no es exactamente una restauración de un DC desde una copia de seguridad. Puede usar este escenario si tiene varios controladores de dominio en la red de su empresa y todos funcionan. Este escenario implica la instalación de un nuevo servidor con su posterior promoción a un nuevo controlador de dominio ADDS en el mismo sitio. El antiguo DC simplemente se elimina de AD.

Es la forma más fácil que no está relacionada con ningún cambio AD irreversible. En este escenario, la base de datos ntds.dit, los archivos GPO y el contenido de la carpeta SYSVOL se replicarán automáticamente en el nuevo controlador de dominio desde los DC que han permanecido en línea.

Si la base de datos ADDS es pequeña y hay otro DC disponible a través de un enlace de red de alta velocidad, el método descrito anteriormente es más rápido que restaurar un DC a partir de una copia de seguridad.

Tipos de restauración de Active Directory: con autoridad y sin autoridad

Hay dos tipos de restauración de DC de Active Directory a partir de una copia de seguridad que debe comprender claramente antes de intentar hacerlo:

• Restauración autorizada: una vez que haya restaurado sus objetos de AD, la replicación se realiza desde el controlador de dominio restaurado a todos los demás controladores de dominio. Este tipo de restauración se usa en los escenarios en los que un solo DC o todos los DC fallaron al mismo tiempo (por ejemplo, después de un ataque de ransomware o virus) o una base de datos NTDS.DIT dañada se replicó en un dominio. En este modo, el valor USN (Número de secuencia de actualización) de todos los objetos AD restaurados aumenta en 100 000. Por lo tanto, los controladores de dominio verán todos los objetos restaurados como nuevos y se replicarán en el dominio. ¡¡¡Utilice la restauración autorizada con mucho cuidado!!!

  En la Restauración autorizada, perderá la mayoría de los cambios de AD realizados después de haber creado su copia de seguridad (pertenencia al grupo de AD, atributos de Exchange, etc.).

• Restauración no autorizada: una vez que haya restaurado su base de datos de AD, el controlador informa a otros DC que se ha restaurado a partir de una copia de seguridad y necesita los últimos cambios de AD (se crea una nueva ID de invocación de DSA para el DC ). Puede usar este método de recuperación en sitios remotos cuando es difícil replicar rápidamente una gran base de datos de AD a través de un canal WAN lento o si tenía algunos datos o aplicaciones importantes en su servidor.

Restaurar el controlador de dominio de Active Directory desde una copia de seguridad del estado del sistema

Supongamos que solo tiene un DC en su dominio. Por alguna razón, un servidor físico en el que se ha estado ejecutando falló.

Tiene un estado del sistema relativamente reciente de su controlador de dominio y desea restaurar Active Directory en un servidor completamente nuevo mediante la restauración autorizada.

Para iniciar la restauración de DC, debe instalar la misma versión de Windows Server que tenía en un DC fallido. Instale el rol ADDS (no lo configure) y la función Windows Server Backup en el Windows Server que acaba de instalar.

Para restaurar su Active Directory, debe iniciar el servidor en DSRM (Modo de restauración de servicios de directorio). Para hacerlo, ejecute msconfig y seleccione la opción Arranque seguro -> Reparación de Active Directory en la pestaña Arranque.

Reinicie su servidor. Arrancará en el DSRM. Ejecute la copia de seguridad del servidor de Windows (

wbadmin

) y selecciona Recuperar en el menú de la derecha.

En el Asistente de recuperación, marca "Una copia de seguridad almacenada en otra ubicación".

A continuación, seleccione el disco en el que se almacena la copia de seguridad del antiguo controlador de dominio AD o especifique la ruta UNC al mismo.

wbadmin get versions -backupTarget:D:

Seleccione la fecha de la copia de seguridad que se utilizará para la recuperación.

Comprueba el estado del sistema para restaurarlo.

Seleccione Ubicación original y marque Realizar una restauración autorizada de archivos de Active Directory.

El sistema mostrará una advertencia de que es otra copia de seguridad del servidor y si se recupera en un servidor diferente, es posible que no funcione. Haga clic en Aceptar.

De acuerdo con otra advertencia también:

Windows Server Backup
Note: This recovery option will cause replicated content on the local server to re-synchronize after recovery. This may cause potential latency or outage issues.

Luego comenzará el proceso de recuperación del controlador de dominio AD en un nuevo servidor. Cuando termine, el servidor requerirá un reinicio (el nombre del nuevo servidor se cambiará al nombre de host de DC de la copia de seguridad).

Inicie el servidor en el modo normal (desactive el DSRM usando msconfig).

Inicie sesión en el servidor utilizando una cuenta con privilegios de administrador de dominio.

Cuando ejecuté la consola Usuarios y equipos de Active Directory (ADUC) por primera vez, recibí el siguiente error:

Active Directory Domain Services
Naming information cannot be located for the following reason:
The server is not operational.

No había carpetas SYSVOL y NETLOGON en el controlador de dominio restaurado. Para corregir este error:

1. Ejecute el regedit.exe;

2. Vaya a la clave de registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters;

3. Cambie el valor de SysvolReady de 0 a 1;

   

4. Luego reinicie el servicio NetLogon:

   net stop netlogon & net start netlogon

   

Intente abrir ADUC nuevamente. Verá la estructura de su dominio.

Así que recuperó con éxito su controlador de dominio AD en el modo Restauración autorizada. Luego, todos los objetos en Active Directory se replicarán automáticamente en otros controladores de dominio.

Si le queda el único DC, asegúrese de que posee los 5 roles de FSMO y aprovéchelos si es necesario.

¿Cómo restaurar objetos AD separados de una copia de seguridad?

Si desea restaurar objetos AD específicos, use la Papelera de reciclaje de Active Directory. Si la duración de la lápida ya ha caducado o la papelera de reciclaje de Active Directory no está habilitada, puede recuperar objetos de AD independientes mediante el modo de restauración autorizada.

En resumen, el procedimiento tiene los siguientes pasos:

1. Inicie el DC en el modo DSRM;

2. Mostrar la lista de copias de seguridad disponibles:

   wbadmin get versions

3. Inicie la recuperación de la copia de seguridad seleccionada:

   wbadmin start systemstaterecovery -version:[your_version]

4. Confirme la restauración de DC (en el modo no autorizado)

5. Después del reinicio, ejecute el

   ntdsutil

6. activate instance ntds

7. authoritative restore

Especifique la ruta LDAPl completa al objeto que desea restaurar. Puede restaurar toda la unidad organizativa:

restore subtree ″OU=Users,DC=a-d,DC=com″

O un solo objeto AD:

restore object “cn=Test,OU=Users,DC=a-d,DC=com”

Este comando denegará la replicación de los objetos especificados (rutas) de otros controladores de dominio y aumentará el USN del objeto en 100 000.

Salga de ntdsutil:

quit

Inicie el DC en el modo normal y asegúrese de que el objeto se haya restaurado.