1일차: 도메인 컨트롤러(DC1)가 하나만 존재합니다. Windows Server 백업은 시스템 상태를 저장하도록 DC1에 구성됩니다. AD에서 중요한 사용자를 삭제합니다.
2일차: 추가 도메인 컨트롤러(DC2)를 승격합니다.
3일차: DC1을 DSRM으로 부팅하고 시스템 상태 복구(권한 없음)를 통해 1일차로 되돌립니다. ntdsutil(권한 있음)을 통해 복원할 중요한 사용자를 표시합니다. DC1을 재부팅합니다.
DC1은 DC2와 동기화되지 않으며 DC2는 DC1의 Active Directory 사용자 및 컴퓨터에 표시되는 것을 모릅니다. Active Directory 사이트 및 서비스에는 DC2의 NTDS 개체(제가 가정하는 포리스트의 다른 도메인에서 DC1로 다시 동기화됨)가 표시되지만 컴퓨터 개체를 찾을 수 없으므로 메타데이터 정리를 실행할 수 없습니다. 이 시점에서 DC1은 다른 도메인 컨트롤러와 동기화되지 않기 때문에 중요한 사용자만 복원하는 대신 전체 AD가 1일차로 되돌아갔습니다.
이 상황에서 회복할 수 있을까요? 이는 예상된 동작입니까, 아니면 환경에 전제조건이 누락되어 있습니까?
답변1
귀하의 마일리지는 다를 수 있지만 제 생각에는 Active Directory에는 단일 개체 복원을 수행하는 정상적인 방법이 없습니다. 사물은 서로 연결되어 있고 개체는 항상 변경됩니다(아마도 Active Directory의 "활성"일 것입니다).
귀하가 직면한 것과 같은 경우에는 Active Directory 휴지통을 활성화하는 것이 좋습니다.
시스템 상태 복구 수행은 거의 항상 재해 복구(즉, 모든 DC를 손실한 경우)에만 가능합니다. 그러나 그러한 경우에는 그보다 훨씬 더 많은 것을 잃었을 수 있으므로 새로 시작하는 것이 이 경우 더 나은 선택일 수 있습니다.
답변2
문제는 백업(day1)에 두 번째 DC가 없다는 것입니다. 선택한 방법은 일반적으로 작동하며 하나의 개체만 복원할 수 있습니다.만약에DC1에서 백업을 수행할 때 DC2는 도메인의 일부였습니다.
일종의 닭고기와 달걀 시나리오가 있습니다. DC1을 복원하면(올바르게 지적했듯이) DC2를 인식하지 못하므로 복제를 위해 신뢰하지 않습니다. 그리고 DC2는 같은 이유로 DC1에 대해 권한을 부여할 수 없습니다. 따라서 DC가 서로를 신뢰하지 않기 때문에 2개의 별도 버전의 AD가 생성됩니다. 이 문제는 고칠 수 없습니다. 두 번째 DC를 온라인으로 만들기 전에 중요한 개체를 삭제했다는 점에서 운이 좋지 않았을 뿐입니다.
답변3
해당 백업이 Active Directory 포리스트의 tombstoneLifetime(180일)보다 오래되지 않는 한 어느 시점으로든 정식 복원을 수행할 수 있습니다. 도메인에 추가 도메인 컨트롤러를 추가하고 도메인 컨트롤러가 하나만 있을 때 수행된 백업을 계속 복원할 수도 있습니다.
주의해야 할 유일한 점은 새로 승격된 도메인 컨트롤러가 Active Directory와 완전히 동기화되고 초기 SYSVOL 동기화를 완료했다는 것입니다. 정식 복원을 통해 개체 복구를 수행하기 전에 도메인의 모든 도메인 컨트롤러에 NETLOGON 및 SYSVOL 공유가 있는지 확인하십시오.
net share
Share name Resource Remark
-------------------------------------------------------------------------------
C$ C:\ Default share
IPC$ Remote IPC
ADMIN$ C:\Windows Remote Admin
NETLOGON C:\Windows\SYSVOL\sysvol\domain.local\SCRIPTS
Logon server share
SYSVOL C:\Windows\SYSVOL\sysvol Logon server share
The command completed successfully.
두 개의 도메인 컨트롤러가 있는 시나리오에서는 DC2가 완전히 복제되지 않았으며 초기 SYSVOL 동기화를 기다리고 있었습니다. 그러면 DC1이 복원되었으며 재부팅 후에도 초기 SYSVOL 동기화와 동일한 상태가 됩니다. 이로 인해 두 도메인 컨트롤러가 더 이상 복제되지 않았고 사실상 이 시점부터 두 도메인 컨트롤러 모두 자체 Active Directory 복사본을 갖게 되었습니다.