Festlegen der Wiederherstellung der GesamtstrukturDetermine how to recover the forest

Gilt für: Windows Server 2016, Windows Server 2012 und 2012 R2, Windows Server 2008 und 2008 R2Applies To: Windows Server 2016, Windows Server 2012 and 2012 R2, Windows Server 2008 and 2008 R2

Zum Wiederherstellen einer gesamten Active Directory Gesamtstruktur wird entweder die Wiederherstellung aus einer Sicherung oder die erneute Installation Active Directory Domain Services (AD DS) auf jedem Domänen Controller (DC) in der Gesamtstruktur bereitgestellt.Recovering an entire Active Directory forest involves either restoring it from backup or reinstalling Active Directory Domain Services (AD DS) on every domain controller (DC) in the forest. Durch das Wiederherstellen der Gesamtstruktur wird jede Domäne in der Gesamtstruktur zum Zeitpunkt der letzten vertrauenswürdigen Sicherung wieder hergestellt.Recovering the forest restores each domain in the forest to its state at the time of the last trusted backup. Folglich führt der Wiederherstellungs Vorgang zu einem Verlust von mindestens den folgenden Active Directory Daten:Consequently, the restore operation will result in the loss of at least the following Active Directory data:

  • Alle Objekte (z. b. Benutzer und Computer), die nach der letzten vertrauenswürdigen Sicherung hinzugefügt wurdenAll objects (such as users and computers) that were added after the last trusted backup
  • Alle Updates, die seit der letzten vertrauenswürdigen Sicherung an vorhandenen Objekten vorgenommen wurdenAll updates that were made to existing objects since the last trusted backup
  • Alle Änderungen, die seit der letzten vertrauenswürdigen Sicherung an der Konfigurations Partition oder der Schema Partition in AD DS vorgenommen wurden (z. b. Schema Änderungen).All changes that were made to either the configuration partition or the schema partition in AD DS (such as schema changes) since the last trusted backup

Für jede Domäne in der Gesamtstruktur muss das Kennwort eines Domänen Administrator Kontos bekannt sein.For each domain in the forest, the password of a Domain Admin account must be known. Vorzugsweise ist dies das Kennwort des integrierten Administrator Kontos.Preferably, this is the password of the built-in Administrator account. Außerdem müssen Sie das DSRM-Kennwort kennen, um eine Systemstatus Wiederherstellung eines Domänen Controllers auszuführen.You must also know the DSRM password to perform a system state restore of a DC. Im Allgemeinen empfiehlt es sich, das Administrator Konto und den DSRM-Kenn Wort Verlauf an einem sicheren Ort zu archivieren, solange die Sicherungen gültig sind, d. h. innerhalb der Tombstone-Lebensdauer oder innerhalb der Lebensdauer des gelöschten Objekts, wenn Active Directory Papierkorb aktiviert ist.In general, it is a good practice to archive the Administrator account and DSRM password history in a safe place for as long as the backups are valid, that is, within the tombstone lifetime period or within the deleted object lifetime period if Active Directory Recycle Bin is enabled. Sie können das DSRM-Kennwort auch mit einem Domänen Benutzerkonto synchronisieren, um es einfacher zu merken.You can also synchronize the DSRM password with a domain user account in order to make it easier to remember. Weitere Informationen finden Sie im KB-Artikel 961320.For more information, see KB article 961320. Die Synchronisierung des DSRM-Kontos muss im Vorfeld der Gesamtstruktur Wiederherstellung im Rahmen der Vorbereitung erfolgen.Synchronizing the DSRM account must be done in advance of the forest recovery, as part of preparation.

Hinweis

Das Administrator Konto ist standardmäßig Mitglied der integrierten Gruppe "Administratoren", ebenso wie die Gruppen "Domänen-Admins" und "Organisations-Admins".The Administrator account is a member of the built-in Administrators group by default, as are the Domain Admins and Enterprise Admins groups. Diese Gruppe verfügt über vollständige Kontrolle über alle DCS in der Domäne.This group has full control of all DCs in the domain.

Bestimmen der zu verwendenden SicherungenDetermining which backups to use

Sichern Sie mindestens zwei beschreibbare DCS für jede Domäne regelmäßig, damit Sie über mehrere Sicherungen verfügen, aus denen Sie auswählen können.Back up at least two writeable DCs for each domain regularly so you have several backups to choose from. Beachten Sie, dass Sie die Sicherung eines schreibgeschützten Domänen Controllers (RODC) nicht verwenden können, um einen beschreibbaren DC wiederherzustellen.Note that you cannot use the backup of a read-only domain controller (RODC) to restore a writeable DC. Es wird empfohlen, die DCS mithilfe von Sicherungen wiederherzustellen, die vor dem Auftreten des Fehlers einige Tage in Anspruch genommen wurden.We recommend that you restore the DCs by using backups that were taken a few days before the occurrence of the failure. Im Allgemeinen müssen Sie einen Kompromiss zwischen der Wiederherstellung und der safness der wiederhergestellten Daten bestimmen.In general, you must determine a tradeoff between the recentness and the safeness of the restored data. Durch die Auswahl einer neueren Sicherung werden nützlichere Daten wieder hergestellt, das Risiko einer erneuten Einführung gefährlicher Daten in die wiederhergestellte Gesamtstruktur kann jedoch erhöht werden.Choosing a more recent backup recovers more useful data, but it might increase the risk of reintroducing dangerous data into the restored forest.

Das Wiederherstellen von Systemstatus Sicherungen ist abhängig vom ursprünglichen Betriebssystem und dem Server der Sicherung.Restoring system state backups depends on the original operating system and server of the backup. Sie sollten z. b. keine Systemstatus Sicherung auf einem anderen Server wiederherstellen.For example, you should not restore a system state backup to a different server. In diesem Fall wird möglicherweise die folgende Warnung angezeigt:In this case, you may see the following warning:

"Die angegebene Sicherung ist von einem anderen Server als der aktuelle.“The specified backup is of a different server than the current one. Es wird nicht empfohlen, eine Systemstatus Wiederherstellung mit der Sicherung auf einem alternativen Server durchzuführen, da der Server möglicherweise unbrauchbar wird.We do not recommend performing a system state recovery with the backup to an alternate server because the server might become unusable. Möchten Sie diese Sicherung für die Wiederherstellung des aktuellen Servers verwenden? "Are you sure you want to use this backup for recovering the current server?”

Wenn Sie Active Directory auf anderer Hardware wiederherstellen müssen, erstellen Sie vollständige Server Sicherungen, und planen Sie die Durchführung einer vollständigen Server Wiederherstellung.If you need to restore Active Directory to different hardware, create full server backups and plan to perform a full server recovery.

Wichtig

Ab Windows Server 2008 wird die Wiederherstellung der Systemstatus Sicherung in einer neuen Installation von Windows Server auf neuer Hardware oder auf derselben Hardware nicht unterstützt.Beginning with Windows Server 2008, it is not supported to restore system state backup to a new installation of Windows Server on new hardware or the same hardware. Wenn Windows Server auf derselben Hardware neu installiert wird, wie es später in diesem Handbuch empfohlen wird, können Sie den Domänen Controller in dieser Reihenfolge wiederherstellen:If Windows Server is reinstalled on the same hardware, as recommended later in this guide, then you can restore the domain controller in this order:

  1. Führen Sie eine vollständige Server Wiederherstellung aus, um das Betriebssystem und alle Dateien und Anwendungen wiederherzustellen.Perform a full server restore in order to restore the operating system and all files and applications.
  2. Führen Sie eine Systemstatus Wiederherstellung mithilfe von "Wbadmin. exe" aus, um SYSVOL als autorisierend zu markieren.Perform a system state restore using wbadmin.exe in order to mark SYSVOL as authoritative.

Weitere Informationen finden Sie im Microsoft KB-Artikel 249694.For more information, see Microsoft KB article 249694.

Wenn der Zeitpunkt des Auftretens des Fehlers unbekannt ist, untersuchen Sie weitere Informationen, um Sicherungen zu identifizieren, die den letzten sicheren Zustand der Gesamtstruktur enthalten.If the time of the occurrence of the failure is unknown, investigate further to identify backups that hold the last safe state of the forest. Diese Vorgehensweise ist weniger wünschenswert.This approach is less desirable. Daher wird dringend empfohlen, dass Sie detaillierte Protokolle über den Integritäts Status von AD DS täglich aufbewahren, damit bei einem Gesamtstruktur weiten Ausfall die ungefähre Zeit des Fehlers identifiziert werden kann.Therefore, we strongly recommend that you keep detailed logs about the health state of AD DS on a daily basis so that, if there is a forest-wide failure, the approximate time of failure can be identified. Sie sollten auch eine lokale Kopie der Sicherungen aufbewahren, um eine schnellere Wiederherstellung zu ermöglichen.You should also keep a local copy of backups to enable faster recovery.

Wenn Active Directory Papierkorb aktiviert ist, ist die Sicherungs Lebensdauer gleich dem deletedObjectLifetime -Wert oder dem tombstoneLifetime -Wert, je nachdem, welcher Wert kleiner ist.If Active Directory Recycle Bin is enabled, the backup lifetime is equal to the deletedObjectLifetime value or the tombstoneLifetime value, whichever is less. Weitere Informationen finden Sie unter schrittweise Anleitung zum Active Directory Papierkorb (https://go.microsoft.com/fwlink/?LinkId=178657).For more information, see Active Directory Recycle Bin Step-by-Step Guide (https://go.microsoft.com/fwlink/?LinkId=178657).

Als Alternative können Sie auch das Active Directory Database-Bereitstellungs Tool (Dsamain. exe) und ein Lightweight Directory Access Protocol (LDAP)-Tool (z. b. LDP. exe) oder Active Directory Benutzer und Computer verwenden, um zu ermitteln, welche Sicherung den letzten sicheren Zustand der Gesamtstruktur aufweist.As an alternative, you can also use the Active Directory database mounting tool (Dsamain.exe) and a Lightweight Directory Access Protocol (LDAP) tool, such as Ldp.exe or Active Directory Users and Computers, to identify which backup has the last safe state of the forest. Das Active Directory-Daten Bank Bereitstellungs Tool, das in Windows Server 2008 und späteren Windows Server-Betriebssystemen enthalten ist, macht Active Directory Daten verfügbar, die in Sicherungen oder Momentaufnahmen als LDAP-Server gespeichert sind.The Active Directory database mounting tool, which is included in Windows Server 2008 and later Windows Server operating systems, exposes Active Directory data that is stored in backups or snapshots as an LDAP server. Anschließend können Sie ein LDAP-Tool verwenden, um die Daten zu durchsuchen.Then, you can use an LDAP tool to browse the data. Dieser Ansatz hat den Vorteil, dass Sie keinen Domänen Controller im Verzeichnisdienst-Wiederherstellungs Modus (Directory Services Restore Mode, DSRM) neu starten müssen, um den Inhalt der Sicherung AD DS zu untersuchen.This approach has the advantage of not requiring you to restart any DC in Directory Services Restore Mode (DSRM) to examine the contents of the backup of AD DS.

Weitere Informationen zur Verwendung des Active Directory-Daten Bank Bereitstellungs Tools finden Sie in der schrittweisen Anleitung für die Active Directory-Daten BankBereitstellung.For more information about using the Active Directory database mounting tool, see the Active Directory Database Mounting Tool Step-by-Step Guide.

Sie können auch den Befehl Ntdsutil snapshot verwenden, um Momentaufnahmen der Active Directory Datenbank zu erstellen.You can also use the ntdsutil snapshot command to create snapshots of the Active Directory database. Wenn Sie eine Aufgabe planen, in regelmäßigen Abständen Momentaufnahmen zu erstellen, können Sie im Laufe der Zeit zusätzliche Kopien der Active Directory Datenbank abrufen.By scheduling a task to periodically create snapshots, you can obtain additional copies of the Active Directory database over time. Mit diesen Kopien können Sie besser erkennen, wann der Gesamtstruktur weite Fehler aufgetreten ist, und dann die beste Sicherung für die Wiederherstellung auswählen.You can use these copies to better identify when the forest-wide failure occurred and then choose the best backup to restore. Um Momentaufnahmen zu erstellen, verwenden Sie die Version von Ntdsutil , die im Lieferumfang von Windows Server 2008 oder dem Remoteserver-Verwaltungstools (RSAT) für Windows Vista oder höher enthalten ist.To create snapshots, use the version of ntdsutil that ships with Windows Server 2008 or the Remote Server Administration Tools (RSAT) for Windows Vista or later. Der Ziel-DC kann eine beliebige Version von Windows Server ausführen.The target DC can run any version of Windows Server. Weitere Informationen zum Verwenden des Befehls " Ntdsutil snapshot " finden Sie unter Momentaufnahme.For more information about using the ntdsutil snapshot command, see Snapshot.

Ermitteln der wiederherzustellenden Domänen ControllerDetermining which domain controllers to restore

Der einfache Wiederherstellungs Vorgang ist ein wichtiger Faktor bei der Entscheidung, welcher Domänen Controller wieder hergestellt werden soll.Ease of the restore process is an important factor when deciding which domain controller to restore. Es wird empfohlen, einen dedizierten Domänen Controller für jede Domäne zu haben, die der bevorzugte Domänen Controller für eine Wiederherstellung ist.It is recommended to have a dedicated DC for each domain that is the preferred DC for a restore. Mit einem dedizierten Wiederherstellungs-DC wird die Wiederherstellung der Gesamtstruktur einfacher geplant und ausgeführt, da Sie die gleiche Quell Konfiguration verwenden, die zum Ausführen von Wiederherstellungs Tests verwendet wurde.A dedicated restore DC makes it easier to reliably plan and execute the forest recovery because you use the same source configuration that was used to perform restore tests. Sie können ein Skript für die Wiederherstellung erstellen und sich nicht mit verschiedenen Konfigurationen auseinandersetzen, z. b. ob der Domänen Controller Betriebs Master Rollen enthält oder nicht, oder ob es sich um einen GC-oder DNS-Server handelt.You can script the recovery, and not contend with different configurations, such as whether the DC holds operations master roles or not, or whether it is a GC or DNS server or not.

Hinweis

Obwohl es nicht empfohlen wird, einen Besitzer der Betriebs Master Rolle im Interesse der Einfachheit wiederherzustellen, können einige Organisationen eine Wiederherstellung für andere Vorteile auswählen.While it is not recommended to restore an operations master role holder in the interest of simplicity, some organizations may choose to restore one for other advantages. Beispielsweise kann das Wiederherstellen des RID-Masters helfen, Probleme beim Verwalten von RIDs während der Wiederherstellung zu vermeiden.For example restoring the RID master may help prevent problems with managing RIDs during the recovery.

Wählen Sie einen DC aus, der am besten die folgenden Kriterien erfüllt:Choose a DC that best meets the following criteria:

  • Ein Domänen Controller, der beschreibbar ist.A DC that is writeable. Diese ist obligatorisch.This is mandatory.

  • Ein Domänen Controller, auf dem Windows Server 2012 als virtueller Computer auf einem Hypervisor ausgeführt wird, der die VM-generationid unterstützt.A DC running Windows Server 2012 as a virtual machine on a hypervisor that supports VM-GenerationID. Dieser Domänen Controller kann als Quelle für das Klonen verwendet werden.This DC can be used as a source for cloning.

  • Ein Domänen Controller, auf den zugegriffen werden kann, entweder physisch oder in einem virtuellen Netzwerk und vorzugsweise in einem Rechenzentrum.A DC that is accessible, either physically or on a virtual network, and preferably located in a datacenter. Auf diese Weise können Sie Sie während der Wiederherstellung der Gesamtstruktur problemlos vom Netzwerk isolieren.This way, you can easily isolate it from the network during forest recovery.

  • Ein DC, der über eine gute vollständige Server Sicherung verfügt.A DC that has a good full server backup. Eine gute Sicherung ist eine Sicherung, die erfolgreich wieder hergestellt werden kann, einige Tage vor dem Auftreten des Fehlers gedauert hat und so viele nützliche Daten wie möglich enthält.A good backup is a backup that can be restored successfully, was taken a few days before the failure, and contains as much useful data as possible.

  • Ein Domänen Controller, der vor dem Auftreten eines DNS-Servers (Domain Name System) war.A DC that was a Domain Name System (DNS) server before the failure. Dies spart die erforderliche Zeit für die Neuinstallation von DNS.This saves the time required to reinstall DNS.

  • Wenn Sie auch die Windows-Bereitstellungs Dienste verwenden, wählen Sie einen Domänen Controller, der nicht für die Verwendung der BitLocker-Netzwerk EntsperrungIf you also use Windows Deployment Services, choose a DC that is not configured to use BitLocker Network Unlock. In diesem Fall wird die BitLocker-Netzwerk Entsperrung nicht für den ersten DC unterstützt, den Sie während einer Wiederherstellung der Gesamtstruktur aus einer Sicherung wiederherstellen.In this case, BitLocker Network Unlock is not supported to be used for the first DC that you restore from backup during a forest recovery.

    Die BitLocker-Netzwerk Entsperrung als einzige Schlüssel Schutzvorrichtung kann nicht auf DCS verwendet werden, auf denen Sie die Windows-Bereitstellungs Dienste (Windows Deployment Services, WDS) bereitgestellt haben, da dies zu einem Szenario führt, bei dem der erste DC erfordert, dass Active Directory und WDS funktionieren, umBitLocker Network Unlock as the only key protector cannot be used on DCs where you have deployed Windows Deployment Services (WDS) because doing so results in a scenario where the first DC requires Active Directory and WDS to be working in order to unlock. Bevor Sie jedoch den ersten Domänen Controller wiederherstellen, ist Active Directory für WDS noch nicht verfügbar, daher kann er nicht entsperrt werden.But before you restore the first DC, Active Directory is not yet available for WDS, so it cannot unlock.

    Um festzustellen, ob ein Domänen Controller für die Verwendung der BitLocker-Netzwerk Entsperrung konfiguriert ist, überprüfen Sie, ob ein Netzwerk entsperrungs Zertifikat im folgenden Registrierungsschlüssel identifiziertTo determine if a DC is configured to use BitLocker Network Unlock, check that a Network Unlock certificate is identified in the following registry key:

    HKEY_LOCAL_MACHINESoftwarePoliciesMicrosoftSystemCertificatesFVE_NKPHKEY_LOCAL_MACHINESoftwarePoliciesMicrosoftSystemCertificatesFVE_NKP

Behalten Sie Sicherheitsverfahren bei der Behandlung oder Wiederherstellung von Sicherungsdateien bei, die Active Directory enthalten.Maintain security procedures when handling or restoring backup files that include Active Directory. Die Dringlichkeit, die die Wiederherstellung in der Gesamtstruktur begleitet, kann unbeabsichtigt zu bewährten Sicherheitsmethoden führen.The urgency that accompanies forest recovery can unintentionally lead to overlooking security best practices. Weitere Informationen finden Sie im Abschnitt "Einrichten von Sicherungs-und Wiederherstellungs Strategien für Domänen Controller" im Leitfaden mit bewährten Methoden zum Sichern von Active Directory Installationen und alltäglichen Vorgängen: Teil II.For more information, see the section titled “Establishing Domain Controller Backup and Restore Strategies” in Best Practice Guide for Securing Active Directory Installations and Day-to-Day Operations: Part II.

Identifizieren der aktuellen Gesamtstruktur Struktur und der DC-FunktionenIdentify the current forest structure and DC functions

Bestimmen Sie die aktuelle Gesamtstruktur Struktur, indem Sie alle Domänen in der Gesamtstruktur identifizieren.Determine the current forest structure by identifying all the domains in the forest. Erstellen Sie eine Liste aller DCS in jeder Domäne, insbesondere die DCS mit Sicherungen und virtualisierte DCS, die als Quelle für das Klonen fungieren können.Make a list of all of the DCs in each domain, particularly the DCs that have backups, and virtualized DCs which can be a source for cloning. Eine Liste der DCS für die Stamm Domäne der Gesamtstruktur ist die wichtigste, da Sie diese Domäne zuerst wiederherstellen.A list of DCs for the forest root domain will be the most important because you will recover this domain first. Nachdem Sie die Stamm Domäne der Gesamtstruktur wieder hergestellt haben, können Sie eine Liste der anderen Domänen, DCS und Standorte in der Gesamtstruktur mithilfe Active Directory Snap-Ins abrufen.After you restore the forest root domain, you can obtain a list of the other domains, DCs, and the sites in the forest by using Active Directory snap-ins.

Bereiten Sie eine Tabelle vor, die die Funktionen der einzelnen Domänen Controller in der Domäne anzeigt, wie im folgenden Beispiel gezeigt.Prepare a table that shows the functions of each DC in the domain, as shown in the following example. Auf diese Weise können Sie nach der Wiederherstellung auf die Konfiguration der Gesamtstruktur vor dem Ausfall zurückgreifen.This will help you revert back to the pre-failure configuration of the forest after recovery.

DC-NameDC name BetriebssystemOperating system FSMOFSMO GCGC RODCRODC BackupBackup DNSDNS Server CoreServer Core VMVM VM-GenIDVM-GenID
DC_1DC_1 Windows Server 2012Windows Server 2012 Schema Master, Domänen Namen MasterSchema master, Domain naming master JaYes NeinNo JaYes NeinNo NeinNo JaYes JaYes
DC_2DC_2 Windows Server 2012Windows Server 2012 KeineNone JaYes NeinNo JaYes JaYes NeinNo JaYes JaYes
DC_3DC_3 Windows Server 2012Windows Server 2012 InfrastrukturmasterInfrastructure Master NeinNo NeinNo NeinNo JaYes JaYes JaYes JaYes
DC_4DC_4 Windows Server 2012Windows Server 2012 PDC-Emulator, RID-MasterPDC emulator, RID Master JaYes NeinNo NeinNo NeinNo NeinNo JaYes NeinNo
DC_5DC_5 Windows Server 2012Windows Server 2012 KeineNone NeinNo NeinNo JaYes JaYes NeinNo JaYes JaYes
RODC_1RODC_1 Windows Server 2008 R2Windows Server 2008 R2 KeineNone JaYes JaYes JaYes JaYes JaYes JaYes NeinNo
RODC_2RODC_2 WindowsServer 2008Windows Server 2008 KeineNone JaYes JaYes NeinNo JaYes JaYes JaYes NeinNo

Identifizieren Sie für jede Domäne in der Gesamtstruktur einen einzelnen beschreibbaren DC, der über eine vertrauenswürdige Sicherung der Active Directory-Datenbank für diese Domäne verfügt.For each domain in the forest, identify a single writeable DC that has a trusted backup of the Active Directory database for that domain. Gehen Sie vorsichtig vor, wenn Sie eine Sicherung zum Wiederherstellen eines Domänen Controllers auswählen.Use caution when you choose a backup to restore a DC. Wenn der Tag und die Ursache des Fehlers ungefähr bekannt sind, empfiehlt es sich, eine Sicherung zu verwenden, die ein paar Tage vor diesem Datum erstellt wurde.If the day and cause of the failure are approximately known, the general recommendation is to use a backup that was made a few days before that date.

In diesem Beispiel gibt es vier Sicherungs Kandidaten: DC_1, DC_2, DC_4 und DC_5.In this example, there are four backup candidates: DC_1, DC_2, DC_4, and DC_5. Diese Sicherungs Kandidaten stellen nur eine wieder her.Of these backup candidates, you restore only one. Der empfohlene Domänen Controller wird aus den folgenden Gründen DC_5:The recommended DC is DC_5 for the following reasons:

  • Sie erfüllt die Anforderungen für die Verwendung als Quelle für das Klonen virtualisierter Domänen Controller, d. h., Sie führt Windows Server 2012 als virtuellen Domänen Controller auf einem Hypervisor aus, der "VM-generationid" unterstützt, führt Software aus, die geklont werden darf (oder die entfernt werden kann, wenn Sie nicht geklont werden kann).It satisfies requirements for using it as a source for virtualized DC cloning, that is, it runs Windows Server 2012 as a virtual DC on a hypervisor that supports VM-GenerationID, runs software that is allowed to be cloned (or that can be removed if it is not able to be cloned). Nach der Wiederherstellung wird die PDC-Emulatorrolle für diesen Server übernommen und kann der Gruppe klonbare Domänen Controller für die Domäne hinzugefügt werden.After the restore, the PDC emulator role will be seized to that server and it can be added to the Cloneable Domain Controllers group for the domain.
  • Sie führt eine vollständige Installation von Windows Server 2012 aus.It runs a full installation of Windows Server 2012. Ein Domänen Controller, auf dem eine Server Core-Installation ausgeführt wird, kann als Ziel für die Wiederherstellung weniger praktisch seinA DC that runs a Server Core installation can be less convenient as a target for recovery.
  • Dabei handelt es sich um einen DNS-Server.It is a DNS server. Daher muss DNS nicht neu installiert werden.Therefore, DNS does not have to be reinstalled.

Hinweis

Da DC_5 kein globaler Katalogserver ist, hat er auch den Vorteil, dass der globale Katalog nach der Wiederherstellung nicht entfernt werden muss.Because DC_5 is not a global catalog server, it also has an advantage in that the global catalog does not need to be removed after the restore. Ob der DC auch ein globaler Katalogserver ist, ist jedoch kein entscheidender Faktor, da ab Windows Server 2012 alle DCS standardmäßig globale Katalogserver sind. das Entfernen und Hinzufügen des globalen Katalogs nach der Wiederherstellung wird in jedem Fall als Teil der Gesamtstruktur Wiederherstellung empfohlen.But whether or not the DC is also a global catalog server is not a decisive factor because beginning with Windows Server 2012, all DCs are global catalog servers by default, and removing and adding the global catalog after the restore is recommended as part of the forest recovery process in any case.

Wiederherstellen der Gesamtstruktur isoliertRecover the forest in isolation

Das bevorzugte Szenario besteht darin, Alle beschreibbaren DCS herunterzufahren, bevor der erste wiederhergestellte Domänen Controller wieder in die Produktion gebracht wird.The preferred scenario is to shut down all writeable DCs before the first restored DC is brought back into production. Dadurch wird sichergestellt, dass alle gefährlichen Daten nicht wieder in die wiederhergestellte Gesamtstruktur repliziert werden.This ensures that any dangerous data does not replicate back into the recovered forest. Es ist besonders wichtig, alle Inhaber der Betriebs Master Rolle zu beenden.It is particularly important to shut down all operations master role holders.

Hinweis

Es gibt möglicherweise Fälle, in denen Sie den ersten Domänen Controller, den Sie für jede Domäne wiederherstellen möchten, in ein isoliertes Netzwerk verschieben, während andere DCS online bleiben, um die Ausfallzeiten des Systems zu minimieren.There may be cases where you move the first DC that you plan to recover for each domain to an isolated network while allowing other DCs to remain online in order to minimize system downtime. Wenn Sie z. b. nach einem fehlerhaften Schema Upgrade wiederherstellen, können Sie festlegen, dass die Domänen Controller im Produktionsnetzwerk ausgeführt werden, während Sie die Wiederherstellungsschritte isoliert ausführen.For example, if you are recovering from a failed schema upgrade, you may choose to keep domain controllers running on the production network while you perform recovery steps in isolation.

Wenn Sie virtualisierte DCS ausführen, können Sie Sie in ein virtuelles Netzwerk verschieben, das vom Produktionsnetzwerk isoliert ist, in dem Sie die Wiederherstellung durchführen möchten.If you are running virtualized DCs, you can move them to a virtual network that is isolated from the production network where you will perform recovery. Das Verschieben virtualisierter DCS in ein separates Netzwerk bietet zwei Vorteile:Moving virtualized DCs to a separate network provides two benefits:

  • Wiederhergestellte DCS werden daran gehindert, das Problem wiederherzustellen, das die Wiederherstellung der Gesamtstruktur verursacht hat, da Sie isoliert sind.Recovered DCs are prevented from reoccurrence of the problem that caused the forest recovery because they are isolated.
  • Das Klonen virtualisierter Domänen Controller kann im separaten Netzwerk ausgeführt werden, sodass eine kritische Anzahl von DCS ausgeführt und getestet werden kann, bevor Sie in das Produktionsnetzwerk zurückgebracht werden.Virtualized DC cloning can be performed on the separate network so that a critical number of DCs can be running and tested before they are brought back to the production network.

Wenn Sie DCS auf physischer Hardware ausführen, trennen Sie das Netzwerkkabel des ersten DC, den Sie wiederherstellen möchten, in der Stamm Domäne der Gesamtstruktur.If you are running DCs on physical hardware, disconnect the network cable of the first DC that you plan to restore in the forest root domain. Trennen Sie nach Möglichkeit auch die Netzwerkkabel aller anderen DCS.If possible, also disconnect the network cables of all other DCs. Dadurch wird verhindert, dass DCS replizieren, wenn Sie versehentlich während des Wiederherstellungsprozesses der Gesamtstruktur gestartet werden.This prevents DCs from replicating, if they are accidentally started during the forest recovery process.

In einer großen Gesamtstruktur, die über mehrere Standorte verteilt ist, kann es schwierig sein, sicherzustellen, dass alle beschreibbaren DCS heruntergefahren werden.In a large forest that is spread across multiple locations, it can be difficult to guarantee that all writeable DCs are shut down. Aus diesem Grund sind die Wiederherstellungsschritte – beispielsweise das Zurücksetzen des Computer Kontos und des krbtgt-Kontos, zusätzlich zur Metadatenbereinigung – so konzipiert, dass sichergestellt wird, dass die wiederhergestellten Schreib baren DCS nicht mit gefährlichen beschreibbaren DCS repliziert werden (Falls einige in der Gesamtstruktur noch online sind).For this reason, the recovery steps—such as resetting the computer account and krbtgt account, in addition to metadata cleanup—are designed to ensure that the recovered writeable DCs do not replicate with dangerous writeable DCs (in case some are still online in the forest).

Allerdings können Sie nur, wenn Sie schreibgeschützte DCS offline nehmen, sicherstellen, dass die Replikation nicht erfolgt.However, only by taking writeable DCs offline can you guarantee that replication does not occur. Daher sollten Sie nach Möglichkeit eine Remote Verwaltungs Technologie bereitstellen, mit der Sie die beschreibbaren DCS während der Wiederherstellung der Gesamtstruktur Herunterfahren und physisch isolieren können.Therefore, whenever possible, you should deploy remote management technology that can help you to shut down and physically isolate the writeable DCs during forest recovery.

RODCs können weiterhin ausgeführt werden, während beschreibbare DCS offline sind.RODCs can continue to operate while writeable DCs are offline. Kein anderer Domänen Controller repliziert Alle Änderungen direkt von einem RODC – insbesondere ohne Schema-oder Konfigurations Container Änderungen – sodass Sie während der Wiederherstellung nicht dasselbe Risiko wie beschreibbare DCS darstellen.No other DC will directly replicate any changes from any RODC—especially, no Schema or Configuration container changes—so they do not pose the same risk as writeable DCs during recovery. Nachdem alle beschreibbaren DCS wieder hergestellt und online geschaltet wurden, sollten Sie alle RODCs neu erstellen.After all the writeable DCs are recovered and online, you should rebuild all the RODCs.

RODCs erlauben weiterhin den Zugriff auf lokale Ressourcen, die auf den jeweiligen Standorten zwischengespeichert werden, während die Wiederherstellungs Vorgänge parallel ausgeführt werden.RODCs will continue to allow access to local resources that are cached in their respective sites while the recovery operations are going on in parallel. Für lokale Ressourcen, die nicht auf dem RODC zwischengespeichert werden, werden Authentifizierungsanforderungen an einen beschreibbaren Domänen Controller weitergeleitet.Local resources that are not cached on the RODC will have authentication requests forwarded to a writeable DC. Diese Anforderungen schlagen fehl, da beschreibbare DCS offline sind.These requests will fail because writeable DCs are offline. Einige Vorgänge, z. b. Kenn Wort Änderungen, funktionieren auch erst, nachdem Sie beschreibbare DCS wieder hergestellt haben.Some operations such as password changes will also not work until you recover writeable DCs.

Wenn Sie eine Hub-und Sprachnetzwerk Architektur verwenden, können Sie sich zunächst auf die Wiederherstellung der beschreibbaren DCS in den Hub-Standorten konzentrieren.If you are using a hub-and-spoke network architecture, you can concentrate first on recovering the writeable DCs in the hub sites. Später können Sie die RODCs an Remote Standorten neu erstellen.Later, you can rebuild the RODCs in remote sites.

Nächste SchritteNext Steps