Windows Server 2008 AD DS 備份與還原完整實戰 (Windows Server Backup)

核心觀念變更

Server 2008 不再備份「系統狀態」，改為 **關鍵磁碟區 (Critical Volumes)** 概念：包含開機磁碟區、系統磁碟區、SYSVOL、NTDS.dit 及日誌檔所在磁碟區。備份工具為 **Windows Server Backup (WSB)**，預設未安裝，需從「伺服器管理員 → 功能 → 新增功能 → Windows Server Backup 功能」安裝。

安裝 WSB 步驟

1. 執行 `oobe` 開啟「初始設定工作」或直接「伺服器管理員 → 功能 → 新增功能」。
2. 勾選 Windows Server Backup 功能，可選 命令列工具 (支援 PowerShell `wbadmin`)。
3. 安裝完成後，管理工具出現「Windows Server Backup」或執行 `wbadmin.msc`。

圖 1：初始設定工作新增功能

圖 2：勾選 Windows Server Backup

圖 3：可選命令列工具

圖 4：安裝完成

三種備份模式

DSRM 與正常模式切換 (備份/還原前必做)

# 進入 DSRM (目錄服務還原模式)
bcdedit /set safeboot dsrepair
# 重開機後進入 DSRM

# 返回正常模式
bcdedit /deletevalue safeboot
# 重開機後恢復正常啟動

原則：非權威還原需在 DSRM；權威還原需先非權威還原 (DSRM) 再啟動正常模式執行 `ntdsutil authoritative restore`。

實作一：關鍵磁碟區備份 (Critical Volumes)

1. WSB 主頁 → 單次備份 → 不同選項 → 自訂。
2. 勾選所有關鍵磁碟區 (系統、開機、SYSVOL、NTDS、日誌)，並勾選 啟用系統復原。
3. 目的地：本機磁碟或遠端共享資料夾。
4. VSS 模式：VSS 完整備份 (截斷交易日誌) 或 VSS 複本備份 (不截斷，適合搭配其他備份軟體)。
5. 確認 → 備份執行 → 完成。

圖 5：啟動單次備份精靈

圖 6：選擇不同選項

圖 7：自訂備份項目

圖 8：勾選關鍵磁碟區並啟用系統復原

圖 9：選擇本機磁碟

圖 10：選擇目標磁碟機

圖 11：VSS 完整 vs 複本備份說明

圖 12：確認備份設定

圖 13：備份進行中

圖 14：備份成功完成

圖 15：備份輸出檔案結構

實作二：完整伺服器備份

步驟同關鍵磁碟區，但第 2 步選擇 完整伺服器，WSB 自動包含所有磁碟區。適合異機還原、虛擬機遷移。

圖 16：選擇完整伺服器備份

實作三：排程備份

1. WSB 主頁 → 備份排程。
2. 選擇 完整伺服器 或 自訂 (關鍵磁碟區)。
3. 設定每日備份次數 (如 01:00、13:00 兩次)。
4. 指定目標磁碟 (專用備份磁碟建議)。
5. 確認 → 完成。系統建立排程任務自動執行。

圖 17：建立備份排程

圖 18：排程精靈開始

圖 19：選擇完整伺服器/自訂

圖 20：設定每日備份次數

圖 21：選擇目標備份磁碟

還原操作重點

非權威還原 (一般資料庫損毀)

1. 進入 DSRM (`bcdedit /set safeboot dsrepair` 重開機)。
2. WSB → 復原 → 選取備份版本 → 完整伺服器復原 或 系統狀態復原。
3. 完成後 `bcdedit /deletevalue safeboot` 重開機進入正常模式，AD 自動複寫最新變更。

權威還原 (誤刪物件/OU 需強制覆寫複寫夥伴)

1. 先完成非權威還原 (同上)。
2. 正常模式啟動，執行 `ntdsutil`：

ntdsutil
authoritative restore
restore database
# 或 restore subtree "OU=DeletedOU,DC=domain,DC=com"
quit
quit

權威還原會將指定物件版本號遞增，強制複寫夥伴接受還原版本。

系統狀態資料包含內容 (參考)

• 登錄
• COM+ 類別註冊資料庫
• 開機檔案 (Bootmgr、BCD)
• AD CS 資料庫
• AD DS 資料庫 (NTDS.dit)
• SYSVOL 目錄
• 叢集服務資訊
• IIS 中繼資料庫
• Windows 資源保護下的系統檔案

結語

Windows Server Backup 以關鍵磁碟區為核心，提供完整伺服器、系統狀態、檔案三層級備份，配合 DSRM/正常模式切換與 `ntdsutil` 權威還原，構建 Server 2008 AD DS 完整資料保護體系。建議：每日關鍵磁碟區備份 + 每週完整伺服器備份 + 異地備份輪換，RPO < 24h，RTO < 4h。