Active Directory故障如何快速恢复

Active Directory故障快速恢复清单

一、先稳住现场与定位范围

• 优先隔离异常 DC，避免错误复制扩大影响；同时确认关键角色所在：netdom query fsmo。
• 快速连通性与复制健康检查：
  • 基础网络与解析：ipconfig /all、ping、nslookup、tracert
  • 目录与复制：dcdiag /v /c /d /e /s: > c:\dcdiag.txt、repadmin /showrepl、repadmin /replsum、repadmin /syncall /aped、dcdiag /test:dns /s: /dnsbasic
• DNS 重点核查：正向查找区、_msdcs 文件夹、SOA/NS 记录是否正确，是否存在陈旧或错误 IP 的记录。
• 事件查看器聚焦：系统、DNS、目录服务、文件复制服务日志，结合错误 ID 缩小范围。
• 站点与服务：核对子网归属、站点内服务器对象、NTDS 连接对象是否完整。

二、常见高频故障的快修步骤

• 客户端无法加域或登录域
  • 将客户端 DNS 指向承载 AD 的 DNS 服务器；用 nslookup 验证能解析到域的 SRV 记录；跨子网优先用 FQDN。
  • 出现“拒绝访问”且 AD 存在同名计算机账户，先在 AD 删除该计算机对象或改用管理员账户加域。
  • 用户登录失败先排除 DNS；检查计算机账户是否被禁用；旧系统（如 Windows 2000/XP/2003）注意计算机账户密码默认 30 天轮换导致的“信任关系失败”，可重置计算机账户或重加域。
• 域成员无法访问共享或打印机
  • 确认以域用户登录；必要时将域用户加入本地管理员组（权衡安全）。
  • 排查相关服务：Netlogon、Server、Workstation；避免 TCP/IP 筛选、IPsec、RRAS 筛选器阻断 TCP 139/445；排查 NetBIOS 重名。

三、域控制器无法启动或目录服务异常

• 启动报错 0xc00002e1（Directory Services cannot start）
  • 重启按 F8 进入目录服务还原模式（DSRM），使用 DSRM 密码登录。
  • 核查 NTFS 权限（系统盘根目录、NTDS 文件夹）、确认 NTDS.DIT 所在盘符未变更、目录未被压缩。
  • 使用 ntdsutil files info 查看数据库文件信息，执行数据库完整性检查与语义分析；必要时用 ntdsutil 或 Esentutl 执行修复。注意：此类“有损修复”可能删除数据，仅在别无他法时使用。
• 非启动类数据库损坏或“疑似损坏”
  • 优先选择从系统状态备份恢复（见第四部分）；若必须修复，先隔离 DC，完成修复并验证后再接入网络，避免污染复制拓扑。

四、从备份恢复与授权还原

• 前提与原则
  • 有可用备份时，优先用备份恢复而非数据库修复；修复属于最后手段且存在数据丢失风险。
• 非授权恢复（常规）
  • 在 DSRM 下使用 Windows Server Backup 等工具还原系统状态（含 NTDS.DIT、EDB.LOG、EDB.CHK 等）；重启后该 DC 会从其他 DC 通过 USN 复制最新变更。
• 授权恢复（误删对象等）
  • 在 DSRM 进入 ntdsutil authoritative restore，执行如 restore database 或 restore database verinc <增量> 将本地对象版本号抬高，使其强制复制覆盖全林。授权恢复会同步影响 SYSVOL，确保策略一致性。
• 旧版系统备份注意（如 Windows 2000 使用 Ntbackup.exe）
  • 还原到与原服务器同名、系统盘同盘符、%SystemRoot% 路径相同的环境，避免恢复异常。

五、多域控制器环境的善后与加固

• 故障 DC 无法干净降级时的元数据清理
  • 使用 ntdsutil metadata cleanup 删除残留对象；必要时配合 ADSI Edit 清理遗留条目，避免复制与名称解析异常。
• 角色与全局编录
  • 若原 FSMO 角色所在 DC 永久离线，可在健康 DC 上夺取角色；视业务需要提升其他 DC 为 **GC（全局编录）**以保障查询与登录。
• 验证与回归
  • 复核：netdom query fsmo、dcdiag、repadmin /showrepl、repadmin /replsum；确认 DNS 记录、SYSVOL 共享与策略下发正常，再对外恢复服务。