备份与恢复

1. AD 回收站

AD 回收站是最方便的对象恢复机制，启用后误删的用户、组、计算机等都可以直接恢复。

打开Active Directory 管理中心（dsac.exe）

选中域名 iehang.cn → 右侧任务面板 → 启用回收站 → 确认（不可逆操作）

启用后，恢复误删对象：点击左侧已删除对象容器 → 右键对象 → 还原

PowerShell - AD 回收站

# 启用 AD 回收站
Enable-ADOptionalFeature -Identity 'Recycle Bin Feature' `
    -Scope ForestOrConfigurationSet -Target "iehang.cn" `
    -Confirm:$false

# 恢复误删的用户
Restore-ADObject -Identity "CN=zhangsan\0ADEL:xxx,OU=Users,OU=IT信息部,DC=iehang,DC=cn"

# 查找已删除对象
Search-ADAccount -DeletedOnly | Select-Object Name, ObjectClass"

2. Windows Server Backup

PowerShell - 备份 AD

# 安装 Windows Server Backup 功能
Install-WindowsFeature Windows-Server-Backup -IncludeManagementTools

# 执行一次性备份（系统状态备份含 AD）
wbadmin start systemstatebackup -backupTarget D: -quiet

# 执行完整备份（含系统状态和裸机恢复）
wbadmin start backup -backupTarget D: -include C: -allCritical -quiet

# 查看备份历史
wbadmin get versions

3. ntdsutil 数据库快照

CMD - ntdsutil 快照

# 创建 AD 数据库快照
ntdsutil snapshot "activate instance ntds" create quit quit

# 挂载快照
ntdsutil snapshot "activate instance ntds" mount {GUID} quit quit

# 挂载路径通常在 C:\$SNAP_timestamp_VSS00001\
# 可以从挂载路径复制 ntds.dit 进行离线分析

# 卸载快照
ntdsutil snapshot "activate instance ntds" unmount {GUID} quit quit

# 删除快照
ntdsutil snapshot "activate instance ntds" delete {GUID} quit quit

# 查看所有快照
ntdsutil snapshot "activate instance ntds" list all quit quit

# 联机整理数据库碎片（无需重启）
ntdsutil dsdb maintenance "activate instance ntds" online defrag to D:\defrag\ntds.dit quit quit

4. 非权威恢复与权威恢复

🔴 警告

权威恢复会将恢复的数据强制同步给其他 DC，可能导致其他 DC 上的更改丢失。仅在确定其他 DC 上的数据不可靠时使用。

CMD - 恢复操作（需重启进入 DSRM）

# 步骤 1：重启进入 DSRM（目录服务还原模式）
# 启动时按 F8 → 选择"目录服务还原模式"
# 或使用 bcdedit /set {default} safeboot dsrepair

# 步骤 2：非权威恢复（标准恢复）
wbadmin start systemstaterecovery -version 01/01/2024-12:00 -quiet

# 步骤 3（可选）：权威恢复特定对象
ntdsutil authoritative restore "restore object CN=zhangsan,OU=Users,OU=IT信息部,DC=iehang,DC=cn" quit quit

# 或权威恢复整个 OU
ntdsutil authoritative restore "restore subtree OU=IT信息部,DC=iehang,DC=cn" quit quit

# 步骤 4：重启正常进入 AD

5. 常见问题

Q1：AD 回收站保留多久

删除对象默认在 Tombstone 生命周期（180 天）后被永久清除。可以通过 Set-ADObject 修改 msDS-deletedObjectLifetime 属性来调整保留时间。

Q2：只有一台 DC 时如何备份恢复

单 DC 环境特别需要定期备份！使用 wbadmin start systemstatebackup 备份系统状态。如果 DC 完全损坏，需全新安装 Windows Server，然后用 wbadmin 恢复系统状态。

📑 目录

1. AD 回收站

2. Windows Server Backup

3. ntdsutil 数据库快照

4. 非权威恢复与权威恢复

5. 常见问题