Windows Server 2003 AD 資料庫備份與還原完整教學：系統狀態備份、目錄服務還原模式 (DSRM)

備份 AD 資料庫：系統狀態備份

AD 資料庫 (NTDS.dit)、SYSVOL、登錄、COM+ 類別註冊、開機檔案統稱為「系統狀態」。使用內建 備份精靈 (ntbackup) 即可完成。

備份步驟

1. Win+R → ntbackup → 「備份精靈」 → 「下一步」。
2. 選擇「備份檔案和設定」 → 「下一步」。
3. 選擇「讓我選擇要備份的內容」 → 「下一步」。
4. 展開「我的電腦」 → 勾選 系統狀態 (System State)。
   
5. 指定備份目的地 (建議非系統磁碟/網路分享) → 檔名 (如 AD_Backup_20240115.bkf) → 「下一步」 → 「完成」。
6. 備份過程中避免其他重負載操作，視 AD 大小耗時數分鐘至數小時。

還原 AD 資料庫：目錄服務還原模式 (DSRM)

AD 服務運行時無法覆寫資料庫檔案，必須進入 DSRM (安全模式變體) 執行還原。

還原步驟

1. 重新開機 → 開機選單出現前連續點擊 F8 → 選擇「目錄服務還原模式 (僅限 Windows 網域控制站)」 → 登入 DSRM 管理員帳號 (安裝 AD 時設定的密碼)。
2. 開啟 ntbackup → 「還原精靈」 → 「還原檔案和設定」 → 選擇備份檔 (.bkf) → 「下一步」 → 「完成」。
   
3. 彈出警告「將覆蓋現有檔案」 → 「是」 → 等待還原完成。
4. 關閉精靈 → 系統提示重新開機 → 「是」。

常見問題與對策

• 忘記 DSRM 密碼： 正常模式下執行 ntdsutil → set dsrm password → 依提示重設 → 重新開機後生效。
• 還原後 USN Rollback 風險： 單一 DC 環境還原較安全；多 DC 環境還原單一 DC 可能導致 USN 回滾複寫衝突。建議：
  • 非權威還原：還原後讓複寫夥伴正常同步 (預設行為)。
  • 權威還原：特定物件誤刪需強制覆蓋全樹系，需 ntdsutil → authoritative restore 指定物件/子樹。
  • 最佳實務：多 DC 環境優先從其他健康 DC 重新推廣新 DC，避免還原風險。
• 備份頻率： 每日系統狀態備份 + 專用異地備份；虛擬化環境建議搭配 VM 層級快照/備份。

自動化腳本範例 (排程每日備份)

@echo off
set BKF_PATH=D:\AD_Backup\AD_State_%date:~-4,4%%date:~-10,2%%date:~-7,2%.bkf
ntbackup backup "@C:\Scripts\AD_State.bks" /f "%BKF_PATH%" /v:yes /r /rs:no /hc:off /m normal /l:f
:: AD_State.bks 內容: \SystemState