Active Directory 核心架構、維護備份與災難復原完整技術白皮書

一、AD 本質
AD 為交易式資料庫，採預寫記錄 (Write-Ahead Logging) 機制，使用 ESE97 技術。磁碟檔案包含：ntds.dit (資料庫)、交易記錄檔 (Log)、檢查點檔、暫存資料庫檔。每台 DC 皆為關鍵資料庫伺服器，需等同保護重要資料庫等級防護。

二、關鍵概念

• 網域：安全性邊界。
• 樹/樹系：網域集合與關聯樹集合。
• DNS：通往 AD 閘道，SRV 記錄為應用系統查詢 AD 關鍵。
• 全域目錄 (GC)：常用 AD 物件屬性索引。原生模式參與登入處理 (提供通用群組成員資格)；混合模式不參與登入但對查詢/搜尋仍重要。
• 作業主機 (FSMO)：解決多主複寫潛在衝突，五大角色分管特定 AD 區域變更。

三、AD 維護與備份

• 效能監視：監控 AD 運行狀態與元件。
• 備份限制：
  1. 僅備份目前有效資料，已標記刪除物件 (60 天墓碑期) 不備份 → 避免還原 60 天前備份導致 AD 不完整。
  2. 僅支援完整備份。
  3. 必須包含系統狀態、系統磁碟檔案、SYSVOL 目錄。
  4. 僅能用原伺服器備份還原原伺服器。
• 資料庫整理：
  線上整理：每 12 小時自動執行，不減少檔案大小。
  離線整理 (壓縮)：進入目錄服務還原模式 (F8) → ntdsutil → files → info 確認路徑 → compact to 目標路徑 → 以新檔覆蓋舊檔 → 重開機。

四、AD 結構描述

• 三大命名內容：網域、配置、結構描述。
• 類別定義物件特性與屬性。
• 管理工具：regsvr32 schmmgmt.dll 註冊後於 MMC 載入。結構描述內容禁止刪除。

五、AD 修復與還原

• 修復：ntdsutil → repair (非首選，優先用備份還原)。
• 還原模式：
  非授權還原 (預設)：還原後 DC 從其他 DC 複寫最新資料 (依 USN 版本號)。
  授權還原：手工指定還原資料庫/子樹為權威，修改 USN 使其高於其他 DC，強制複寫至其他 DC。適用於誤刪 OU、其他 DC 資料無效情況。
• 授權還原操作：目錄服務還原模式 → 非授權還原備份 → ntdsutil → authoritative restore → restore database (或 restore subtree ou=...) → 確認 Yes → 重開機提示必選「否」 (選是會變非授權) → 手動重開機。

六、災難性復原處理

1. 重裝系統重升 DC：最簡單但需清理殘留中繼資料。若原 DC 資料損壞無法 Dcpromo 降級，需先從「AD 網站與服務」刪除伺服器物件，再用 ntdsutil metadata cleanup 移除 AD 物件。若需同名新 DC，必須先用 ntdsutil roles seize 搶佔 FSMO 角色 (被搶佔 DC 重裝前不可重新加入網路)。
2. 從備份還原：最佳方案。注意還原模式選擇 (誤刪資料用授權模式)。

七、特殊情況注意

• 過期備份還原：超過 60 天備份需修改 tombstoneLifetime 屬性 (ADSI/LDP 編輯)，位置：CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=...，謹慎操作。
• 異機還原：不建議，除非硬體高度相同且 HAL 相同。
• 遠端還原：BOOT.INI 加入 /safeboot:dsrepair 引導進入還原模式。

附錄：ntdsutil 完整指令參考。