Posnetek je senčna kopija diska, ustvarjena s storitvijo za kopiranje v prostornini (VSS), ki vsebuje bazo podatkov Active Directory in datoteke dnevnika. Z uporabo posnetkov aktivnega imenika si lahko ogledate podatke v njih na krmilniku domene, ne da bi morali zagnati strežnik v načinu obnovitve imeniške storitve..
Windows Server 2008 ima novo funkcijo, ki skrbnikom omogoča, da snemajo posnetke iz baze podatkov Active Directory brez povezave..
Z uporabo posnetkov AD lahko namestite varnostne kopije AD DS in dostopate do (samo za branje) varnostnih kopij LDAP.
Morate sprejeti ukrepe za zaščito posnetkov AD tako, kot jih uporabljate za zaščito rednih varnostnih kopij DC. Na primer uporabite šifriranje ali druge varnostne ukrepe za posnetke AD DS, da zmanjšate tveganje za nepooblaščen dostop do njih..
Obstaja kar nekaj scenarijev za uporabo AD posnetkov. Če je na primer nekdo spremenil lastnosti nekaterih objektov AD in morate vse vrniti na njihove prejšnje vrednosti, lahko kopirate prejšnji posnetek na drugo vrata in enostavno izvozite potrebne atribute za kateri koli predmet, ki je bil spremenjen. Te vrednosti je mogoče uvoziti v delujoči primerek AD DS. Izbrisane predmete lahko tudi obnovite ali predmete preprosto ogledate v diagnostične namene..
Ko je posnetek AD nameščen in povezan, vam omogoča, da vidite, kako je izgledala baza podatkov AD v času, ko je bil posnetek ustvarjen, kateri predmeti obstajajo v njem in druge vrste informacij. Vendar takoj po namestitvi ni mogoče premakniti ali kopirati elementov in njihovih atributov s slike v aktivno bazo podatkov. Če želite to narediti, boste morali ročno izvoziti ustrezne predmete ali atribute iz posnetka in jih nato ročno uvoziti nazaj v trenutno bazo podatkov AD.
Čeprav se lahko postopek ustvarjanja posnetka, namestitev, povezovanje z njim, prekinitev povezave, demontaža in brisanje na prvi pogled zdi nekoliko zmeden, po nekaj minutah dela razumete ta postopek. Vsekakor je to veliko bolje kot stara različica - onemogočiti krmilnike domen, ponovno zagnati v DSRM, obnoviti status sistema iz varnostne kopije in nato izvoziti atribute.
Ustvarjanje posnetkov programa Active Directory
Če želite ustvariti posnetke Active Directory, morate uporabiti ukaz NTDSUTIL. NTDSUTIL je vgrajen v sistem Windows Server 2008. Na voljo je, če imate nameščeno vlogo strežnika Active Directory Domain Services (AD DS) ali vlogo AD LDS.
Sledite naslednjim korakom:
1. Prijavite se kot član skupine Domain Admins v enem od svojih krmilnikov domen Windows Server 2008.
2. Odprite okno ukaznega poziva
Opomba: Zagnati morate NTDSUTIL iz povzdignjenega ukaznega poziva, zagnati takšno vrstico, z desno tipko miške kliknite ikono »Ukazni poziv« in nato izberite »Zaženi kot skrbnik«.
3. V okno CMD vnesite naslednji ukaz:
ntdsutil
4. V okno CMD vnesite naslednji ukaz:
posnetek
Opomba: Ukazi NTDSUTIL so zgrajeni na principu podmenija. Lahko vtipkate "?" kadar koli in dobite vse ukaze na tej ravni. Upoštevajte tudi, da lahko običajno vnesete samo prvih nekaj črk vsakega ukaza. Na primer, namesto posnetkov lahko preprosto vnesete sna.
5. Vnesite naslednji ukaz:
aktiviraj primere ntds
6. Preden začnete ukaze posnetka, morate zagnati podkomando »aktiviraj primerek«, da nastavite trenutni aktivni primerek.
V okno CMD vnesite naslednji ukaz:
aktiviraj primere ntds
Rezultat naj bo videti tako:
posnetek: Aktivirajte Instance ntds
Aktivni primerek nastavljen na "ntds".
7. V okno CMD vnesite naslednji ukaz:
ustvariti
Rezultat naj bo videti nekako takole:
posnetek: ustvari
Ustvarjanje posnetka ...
Nabor posnetkov 3a861a35-2f33-4d7a-8861-a10e47afdaba uspešno ustvarjen.
8. Če si želite ogledati vse razpoložljive posnetke, v okno CMD vnesite naslednji ukaz:
seznam vseh
Rezultat naj bo videti nekako takole:
posnetek: ustvari
posnetek: seznam vseh
1: 2008/10/25: 03:14 ec53ad62-8312-426f-8ad4-d47768351c9a
2: C: 15c6f880-cc5c-483b-86cf-8dc2d3449348
9. Nato lahko nadaljujete z delom z NTDSUTIL ali pa zapustite tako, da 2-krat vtipkate "nehaj".
Opomba: NTDSUTIL omogoča zagon zgornjih ukazov, tako da jih preprosto vnesete v eno vrstico. Zaženite naslednji ukaz:
ntdsutil Posnetek "Activate Instance NTDS" ustvari nehaj
I.e. Ta postopek lahko enostavno avtomatizirate..
Priložite posnetek aktivnega imenika
Preden se sliko povežemo, jo moramo montirati. Če pogledamo izhod ukaza "Seznam vseh", lahko izberemo sliko, s katero želimo delati, pri čemer bodimo pozorni na številko zraven.
Če želite namestiti posnetek aktivnega imenika, sledite tem korakom:
1. Prijavite se kot član skupine Domain Admins v enem od svojih krmilnikov domen Windows Server 2008.
2. Odprite ukazni poziv s skrbniškimi pravicami
3. V okno CMD vnesite naslednji ukaz:
ntdsutil
4. Nato vnesite
posnetek
5. Če si želite ogledati vse razpoložljive posnetke, v okno CMD vnesite naslednji ukaz:
seznam vseh
Rezultat naj bo videti nekako takole:
posnetek: seznam vseh
1: 2009/10/25: 13:14 ec53ad62-8312-426f-8ad4-d47768351c9a
2: C: 15c6f880-cc5c-483b-86cf-8dc2d3449348
6. V tem primeru imamo samo en posnetek, ki je na voljo, posnet je bil 25.10.2009 ob 13:14. Montirali ga bomo .
V okno CMD vnesite naslednji ukaz:
pritrditev 2
Rezultat naj bo videti nekako takole:
posnetek: pritrdite 2
Posnetek 15c6f880-cc5c-483b-86cf-8dc2d3449348 nameščen kot C: \ $ SNAP_200810250314_VOLUMEC $ \
7. Nato lahko nadaljujete z delom z NTDSUTIL ali pa zapustite tako, da 2-krat vtipkate "nehaj".
Opomba: Tako kot pri ustvarjanju posnetka lahko tudi v eni vrstici zaženete verigo ukazov za namestitev. Na primer:
ntdsutil posnetek "seznam vseh" "mount 2" nehaj
Priložite posnetke aktivnega imenika
Če želite povezati posnetek AD, ki ste ga namestili, boste morali uporabiti ukaz DSAMAIN. DSAMAIN je pripomoček ukazne vrstice, ki je vgrajen v sistem Windows Server 2008. Na voljo je, če imate vlogo strežnika Active Directory Domain Services (AD DS) ali vlogo Active Directory Lightweight Directory Services (AD LDS).
Po uporabi pripomočka DSAMAIN za črpanje informacij iz posnetka AD lahko uporabite kateri koli grafični vmesnik, na primer privzeti uporabnik in računalniki Active Directory (Dsa.msc), Adsiedit.msc, LDP.exe in drugi. Z njim se lahko povežete tudi s pripomočki ukazne vrstice LDIFDE, CSVDE in drugimi orodji, ki omogočajo izvoz podatkov iz baze podatkov domene.
Ko DSMAIN uporabljate za povezavo s podatki, ki jih vsebuje slika, naslednje pogoje:
- Vsa dovoljenja, ki veljajo za podatke na sliki, so prisiljena.
- Privzeto si lahko samo člane skupine domenskih administratorjev in skupine Enterprise Admins ogledajo posnetke.
Najprej DSAMAIN zahteva natančno in popolno pot do datoteke Ntds.dit..
Drugič, DSAMAIN-u morate zagotoviti edinstveno pristanišče za vročanje zahtev LDAP. Uporabite lahko katero koli vrata, ki še ni omogočeno. V tem primeru bom uporabil vrata 10389. DSAMAIN bo razširil imenik za dostop do njega prek 4 zaporednih vrat - LDAP, LDAP / SSL, GC in GC / SSL. Ročno lahko določite določeno vrata za vsakega od njih, če pa samo določite eno vrata (tj. 10 389), bodo vsa druga vrata zaporedno zaporedna. Če torej izberete 10389 za vrata LDAP, boste dobili:
- LDAP: 10389
- LDAP / SSL: 10390
- GC: 10391 GC:
- GC / SSL: 10392
Če se želite povezati s posnetkom Active Directory, izvedite naslednje korake:
- Prijavite se kot član skupine Domain Admins v enem od svojih krmilnikov domen Windows Server 2008.
- Odprite ukazni poziv s skrbniškimi pravicami
- V okno CMD vnesite naslednji ukaz:
dsamain -dbpath "C: \ $ SNAP_200810250314_VOLUMEC $ \ Windows \ NTDS \ ntds.dit" -ldapport 10389
Ne boste prejeli vizualne potrditve, da je bila slika povezana. Edino, kar res kaže, da je DIT povezan, je sporočilo "Zagon Microsoft Domain Directory Services zagon končan". Ne zapri okna ukaznega poziva. Medtem ko se izvaja DSAMAIN, lahko do imenika dostopate prek LDAP na vratih, ki ga določite.
Rezultat naj bo videti nekako takole:
C: \ Uporabniki \ Administrator> dsamain -dbpath "C: \ $ SNAP_200810250314_VOLUMEC $ \ Windows \ NTDS \ ntds.dit" -ldapport 10389
EVENTLOG (informativno): NTDS Splošno / Nadzor nad storitvami: 1000
Zagon Microsoftovih domenskih storitev Active Directory popoln, različica 6.0.6001.18072
Prekinite povezavo s posnetkom Active Directory
Če želite prekiniti povezavo s posnetkom AD, morate samo pritisniti CTRL + C v ukaznem pozivu DSAMAIN. Prejeli boste sporočilo, da je DS uspešno končan.
Rezultat naj bo videti nekako takole:
EVENTLOG (informativno): NTDS Splošno / Nadzor nad storitvami: 1004
Storitve domen Active Directory so bile uspešno zaustavljene.
Kako odklopiti posnetek aktivnega imenika
Zadnja stvar, ki jo moramo storiti, je izklop posnetka. To lahko storite z ukazom NTDSUTIL..
Če želite onemogočiti posnetek Active Directory, sledite tem korakom:
1. Odprite ukazni poziv s skrbniškimi pravicami
2. V okno CMD vnesite naslednji ukaz:
ntdsutil
3. V oknu CMD naslednji ukaz:
posnetek posnetka
4. Če si želite ogledati vse razpoložljive posnetke, v okno CMD vnesite naslednji ukaz:
seznam je nameščen
Rezultat naj bo videti nekako takole:
posnetek: Seznam nameščen
1: 2009/10/25: 13:14 ec53ad62-8312-426f-8ad4-d47768351c9a
2: C: 15c6f880-cc5c-483b-86cf-8dc2d3449348 C: \ $ SNAP_200810250314_VOLUMEC $ \
5. Onemogočili bomo nameščen posnetek..
odklopite 2
Rezultat naj bo videti nekako takole:
posnetek: Odklapljanje 2 Posnetek 15c6f880-cc5c-483b-86cf-8dc2d3449348 izklopljen.
6. Nato lahko nadaljujete z delovanjem z NTDSUTIL ali pa zapustite tako, da 2-krat vtipkate "nehaj".
Opomba: Tu lahko ponovno uporabite zagon celotnega zaporedja ukazov v eni vrstici, na primer:
ntdsutil posnetek "seznama nameščen" "unmount 2" nehaj
Izbrišite posnetke aktivnega imenika
Če želite izbrisati posnetek aktivnega imenika, sledite tem korakom:
1. V okno CMD vnesite naslednji ukaz:
ntdsutil
2. V okno CMD vnesite naslednji ukaz:
posnetek
3. Če si želite ogledati vse razpoložljive posnetke, v okno CMD vnesite naslednji ukaz:
seznam vseh
Rezultat naj bo videti nekako takole:
posnetek: ustvari
posnetek: seznam vseh
1: 2009/10/25: 13:14 ec53ad62-8312-426f-8ad4-d47768351c9a
2: C: 15c6f880-cc5c-483b-86cf-8dc2d3449348
5. Izbrisali bomo edini na voljo posnetek. V okno CMD vnesite naslednji ukaz:
brisanje 2
Rezultat naj bo videti nekako takole:
posnetek: brisanje 2
Posnetek 15c6f880-cc5c-483b-86cf-8dc2d3449348 izbrisan.
6. Nato zapustite NTDSUTIL tako, da dvakrat vtipkate "prenehaj".
