So stellen Sie einen Active Directory-Domänencontroller aus einer Sicherung wieder her

Der Umgang mit einem ausgefallenen Active Directory-Domänencontroller kann nervenaufreibend sein, insbesondere wenn es nur einen DC in der Domäne gibt und dieser aufgrund von Hardwareproblemen oder Datenbeschädigung offline ist. Glücklicherweise können Sie mit einer Systemstatussicherung Ihr AD so wiederherstellen, dass Ihre Domäne wieder online ist – auch wenn dies nicht immer einfach ist. Entscheidend ist die Wahl der richtigen Wiederherstellungsmethode (autoritativ vs.nicht-autoritativ) und das sorgfältige Befolgen der Schritte, um Probleme mit AD zu vermeiden. Bei einer Konfiguration funktionierte es auf Anhieb, bei einer anderen… nun ja, eher weniger. Denn Windows macht es einem natürlich unnötig schwer, aber diese Anleitung sollte Ihnen durch den Prozess helfen.

So beheben Sie einen ausgefallenen Domänencontroller mithilfe einer Systemstatussicherung

Wiederherstellung von Active Directory aus einer Sicherung: Warum es wichtig ist und wann man es verwenden sollte

Diese Art der Wiederherstellung ist erforderlich, wenn der einzige Domänencontroller in Ihrem Netzwerk ausgefallen ist und Sie Ihre Active Directory-Daten ohne Datenverlust wiederherstellen müssen. Die Wiederherstellung aus einer Systemstatussicherung im autoritativen Modus kann AD-Objekte auf einen früheren Zustand zurücksetzen und dabei alle neueren Änderungen überschreiben – seien Sie sich daher bewusst, dass dies ein riskantes Unterfangen ist. Sie kommt zum Einsatz, wenn kürzlich durchgeführte Aktualisierungen geopfert werden können, um Ihre Domäne nach einem Ausfall wiederherzustellen. Dies ist besonders nützlich, wenn Ihre Active Directory-Datenbank beschädigt wurde oder Sie von Ransomware betroffen waren und einen sauberen Zustand wiederherstellen möchten.

Vorbereitung des neuen Servers für die Wiederherstellung

• Der neue Server muss dieselbe Windows Server-Version wie der ausgefallene Server verwenden. Führen Sie während dieses Prozesses keine Upgrades durch, es sei denn, Sie sind ein absoluter Experte.
• Führen Sie eine Neuinstallation von Windows Server durch, ohne den Hostnamen oder die IP-Adresse zu konfigurieren – lassen Sie diese Felder vorerst leer.
• Verwenden Sie PowerShell oder den Server-Manager, um die erforderlichen Rollen zu installieren: Install-WindowsFeature -Name AD-Domain-Services, Windows-Server-Backup

Profi-Tipp: Versuchen Sie nicht, auf einem Domänencontroller mit einer anderen Windows-Version eine Sicherung wiederherzustellen. Kompatibilitätsprobleme sind hier die größte Gefahr.

Starten im Verzeichnisdienst-Wiederherstellungsmodus (DSRM)

Hier wird es etwas ungewöhnlich, aber notwendig. Sie müssen den Server im DSRM-Modus starten, im Prinzip dem Windows-Sicherheitsmodus für AD-Reparaturen. Führen Sie den Befehl aus msconfig, wechseln Sie zum Tab „Start“ und wählen Sie „Abgesicherter Start mit Active Directory-Reparatur“. Alternativ können Sie folgenden Befehl verwenden:

bcdedit /set safeboot dsrepair shutdown /r /t 0

Nach dem Neustart befindet sich das System im DSRM-Modus.Öffnen Sie von dort aus die Windows Server-Sicherung ( wbadmin.msc) und wählen Sie „Wiederherstellen“.

Wiederherstellung aus dem Backup

• Wählen Sie einen anderen Speicherort für die Sicherungsmedien. Navigieren Sie beispielsweise zu Ihrer Netzwerkfreigabe, wie in dieser Anleitung vorgeschlagen.
• Möglicherweise müssen Sie den Ordner „WindowsImageBackup“ auf Ihre lokale Festplatte kopieren, wenn Sie von einem physischen Datenträger wiederherstellen copy \\server\share\WindowsImageBackup C:\Backup.
• Wählen Sie das gewünschte Sicherungsdatum aus und aktivieren Sie dann das Kontrollkästchen für Systemstatus.
• Nun zum kniffligen Teil: Aktivieren Sie die Option „Autoritative Wiederherstellung der Active Directory-Dateien durchführen“. Dadurch werden vorhandene AD-Daten überschrieben. Führen Sie diese Option daher nur aus, wenn Sie sich sicher sind.

Es erscheint eine Warnung, die darauf hinweist, dass es sich um eine Sicherung von einem anderen Server handelt und eine unsachgemäße Handhabung zu Problemen führen kann – dies ist normal. Bestätigen Sie dies und fahren Sie fort.

Der Wiederherstellungsprozess und die Schritte nach der Wiederherstellung

Die Wiederherstellung kann je nach Hardware einige Zeit dauern. Nach Abschluss der Wiederherstellung wird der Server neu gestartet und der Hostname automatisch an den Sicherungsnamen angepasst. Starten Sie den Server erneut im DSRM-Modus und deaktivieren Sie diesen anschließend mit folgendem Befehl:

bcdedit /deletevalue safeboot

Melden Sie sich mit dem lokalen Administratorkonto ( .\administrator) an. Da Active Directory wiederhergestellt wurde, fehlen die Freigaben SYSVOL und NETLOGON möglicherweise zunächst – das ist normal. Um dies zu beheben, öffnen Sie den Registrierungs-Editor ( regedit.exe) und navigieren Sie zu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

Setzen Sie SysvolReady von 0 auf 1 und starten Sie dann den NetLogon -Dienst neu mit:

net stop netlogon & net start netlogon

Überprüfen Sie anschließend, ob Ihre Active Directory-Verwaltungstools funktionieren und Ihre Domänenobjekte wieder sichtbar sind.

Zusammenfassung und was sonst noch helfen könnte

Die Wiederherstellung eines Domänencontrollers aus einer Systemstatussicherung mittels autoritativer Wiederherstellung ist zwar keine alltägliche Aufgabe, kann aber im Notfall die Rettung sein. Stellen Sie jedoch sicher, dass Sie die AD-Daten wirklich überschreiben möchten – sichern Sie nach Möglichkeit den aktuellen Zustand und überprüfen Sie Ihre Sicherungsversionen. Manchmal genügt eine nicht-autoritative Wiederherstellung, wenn Sie einen kürzlich wiederhergestellten Domänencontroller lediglich mit der bestehenden Domäne synchronisieren möchten.

Zusammenfassung

• Erstellen Sie vor dem Eintritt eines Katastrophenfalls eine aktuelle Systemstatussicherung.
• Starten Sie DSRM, stellen Sie die Daten aus der Sicherung wieder her und wählen Sie die autoritative Wiederherstellung, wenn Sie AD-Objekte zurücksetzen möchten.
• Beheben Sie SYSVOL-Freigabeprobleme nach der Wiederherstellung durch Bearbeiten der Registrierung und Neustarten von NetLogon.
• Überprüfen Sie nach diesem Durcheinander unbedingt den Zustand von Active Directory.

Abschluss

Dieser Prozess mag auf den ersten Blick kompliziert wirken, und ja, er ist etwas knifflig. Aber wenn alles gut vorbereitet ist, kann die Wiederherstellung überraschend erfolgreich sein. Denken Sie nur daran, dass es sich um einen destruktiven Vorgang handelt – erstellen Sie unbedingt Backups! Hoffentlich hilft das jemandem, den schlimmsten Fall zu vermeiden.