Недавно к нам обратилась одна компания с просьбой восстановить работоспособность службы каталогов Active Directory. Компания состоит из центрального офиса в Москве и 80 региональных подразделений, расположенных по России и СНГ. Для каждого дочернего филиала создан отдельный домен и отдельный сайт. Общее количество сотрудников компании составляет около 4000 человек. В центральном офисе располагаются основные инфраструктурные серверы, включая корневые контроллеры домена и серверы Exchange. В один прекрасный момент произошёл отказ одного из 3-х корневых контроллеров домена в центральном офисе, толи у него материнская плата сгорела, толи RAID-массив отказал. Системные администраторы несколько раз пытались восстановить контроллер домена из резервной копии, но у них ничего не получилось. Спустя какое-то время произошёл отказ сервера Exchange 2007, и возникли множественные проблемы с аутентификацией пользователей.
Читать далее…
Предыстория.
Сразу скажу, что история произошла больше, чем полгода назад так, что особых подробностей я не помню. Но поскольку мне уже неоднократно задавали аналогичные вопросы, я решил поднять свои старые записи и написать об этом на блоге.
Проблема случилась у одного из наших клиентов, ИТ-инфраструктуру которого мы обслуживаем по договору ИТ-аутсорсинга. Компания занимается разработкой систем биометрической аутентификации. В рамках одного из плановых аудитов информационной системы инженеры отдела сервисного обслуживания заметили аномальное увеличение размера базы данных службы каталогов ntds.dit. Когда проблема была обнаружена, размер ntds.dit составлял 2 ГБ, но в течение недели он вырос до 8 ГБ. В компании работает всего 50 человек, и в аналогичных компаниях размер базы данных службы каталогов варьируется от 20 до 40 МБ. Поиски в Интернете ни к чему не привели, поэтому нам пришлось разбираться самим. Параллельно мы открыли инцидент в службе поддержки Microsoft, которая в данном случае нам не помогла. Кто-то из специалистов мне пытался объяснить, что мне следует почистить Event Logs, по его мнению они хранились в Active Directory. А я всю жизнь думал, что они хранятся в C:\WINDOWS\system32\config\. Ну да ладно, может быть в тот раз трубку взяла уборщица, кто его знает 
Читать далее…
Я думаю, что практически каждый системный администратор когда-нибудь сталкивался с задачей восстановления удалённых объектов из Active Directory. Все сертифицированные инженеры знают, что стандартный способ восстановления удалённых объектов – это авторитативное восстановление из бэкапа в режиме Directory Service Restore Mode с использованием ntbackup и ntdsutil. Способ, скажем, не самый удобный. Во-первых нужно перезагружать сервер, во вторых восстанавливать из резервной копии состояние системы, потом помечать, какие объекты не будут перезаписаны процессом репликации…
Читать далее…