Active Directory 修復與授權/非授權還原實戰操作指南

當 AD 因意外損壞，修復與還原策略選擇至關重要。

一、Ntdsutil 修復資料庫 (非首選)

步驟：cmd → ntdsutil → repair。
警告：修復不一定能恢復所有物件/屬性，嚴重損壞時甚至導致更多資料遺失。執行前必須將該 DC 隔離網路，防止損壞資料複寫至其他 DC。確認正常後再接回網路。

二、還原策略決策考量

• 本地 AD 損壞，其他複寫 DC 是否正常？
• 還原本 DC 是否需覆蓋其他 DC 資料 (導致他們遺失近期變更)？
• 或讓本 DC 從其他 DC 複寫回最新資料？

以上決定採用非授權或授權還原模式。

三、非授權還原 (最常用)

適用：本 DC 資料有問題，但確信其他 DC 正常。
操作：
1. 開機按 F8 進入「目錄服務還原模式」 (安全模式)。
2. 管理員/備份操作員登入。
3. 執行備份工具 →「還原精靈」→ 選擇「系統狀態」 (含 AD、登錄檔、關鍵系統元件)。
4. 完成重開機，本 DC 將參與複寫，自動從其他 DC 取得最新更新 (依 USN 版本號)。

四、授權還原 (特定情況)

適用：誤刪 OU/重要物件、其他 DC 含無效複寫資料、需指定某 DC 為權威來源。
原理：修改 USN 版本號 (通常加 10,000) 使其高於所有 DC，強制複寫本地資料至其他 DC。
操作 (接續非授權還原後)：
1. ntdsutil → authoritative restore → restore database (整個資料庫) 或 restore subtree ou=eng,dc=mycompany,dc=com (特定子樹)。
2. 確認 Yes → quit 兩次關閉視窗。
關鍵：系統彈出重開機提示 必選「否」 (選是會失去授權效力) → 手動重開機。
附帶效果：SYSVOL 同步還原，電腦帳號信任密碼 (7 天輪換) 亦還原，可能導致電腦信任關係中斷需注意。

常用授權還原指令

• authoritative restore：列出指令清單。
• restore database：授權還原整個資料庫。
• restore database verinc %：自訂版本號增量。