Ir para o conteúdo
Ao usar o AWS re:Post, você concorda com os AWS re:Post Termos de uso
AWS re:Postre:Post
sobre o re:Post

Como uso o backup do Windows Server para restaurar os controladores de domínio do Active Directory que criei nas instâncias do Amazon EC2?

15 minuto de leitura
0

Quero restaurar os controladores de domínio em um domínio do Microsoft Active Directory que criei nas instâncias do Amazon Elastic Compute Cloud (Amazon EC2).

Breve descrição

Para usar o backup do Windows Server para restaurar um único controlador de domínio, pelo menos um controlador de domínio deve funcionar conforme o esperado.

Para restaurar vários controladores de domínio, use um backup do controlador de domínio que tenha as funções Operação Mestra Única Flexível (FSMO). Se você não tiver um backup do controlador de domínio com as funções FSMO, deverá restaurar outro backup. Em seguida, mova as funções FSMO para o controlador de domínio restaurado.

Por fim, exclua os metadados do servidor do controlador de domínio anterior e, em seguida, crie uma nova instância do controlador de domínio para substituí-la.

Depois de restaurar seu controlador ou controladores de domínio, execute uma verificação de integridade do status do controlador de domínio em todos os controladores de domínio.

Resolução

Observação: É uma prática recomendada usar o backup do Windows Server para fazer backup de seus controladores de domínio. No entanto, para restaurar uma instância do EC2 excluída, você deve restaurar a partir de um backup de imagem de máquina da Amazon (AMI). Para obter instruções, consulte Como uso uma AMI para restaurar os controladores de domínio do Active Directory que criei nas instâncias do Amazon EC2? É uma prática recomendada testar primeiro o processo de backup e restauração em um ambiente de teste.

Restaure um controlador de domínio em um domínio que tenha vários controladores ou um domínio com um único controlador

Conclua as etapas a seguir:

  1. Use o Remote Desktop Protocol (RDP) para se conectar à sua instância.

  2. Configure a instância para inicializar no Directory Service Repair Mode (DSRM).
    Observação: Se sua instância estiver off-line e inacessível, consulte Para inicializar uma instância offline no DSRM em Configurar uma instância para ser inicializada no DSRM.

  3. Reinicie seu computador.

  4. Conecte-se à instância como administrador do DSRM.
    Observação: Para fazer login como administrador, digite seu nome de usuário no formato Hostname\Administrator.

  5. Execute o comando a seguir para verificar o identificador da versão do backup:

    wbadmin get versions

  6. Execute o comando a seguir para restaurar o estado do sistema:

    wbadmin start systemstaterecovery -version:version_identifier -quiet

    Observação: Substitua version_identifer pelo identificador de versão do backup.

  7. Depois que o DSRM concluir a restauração, pressione Y no prompt a seguir para reiniciar o computador:

    A computer restart is required to complete the system state recovery operation.
Press [Y] to restart the computer now.
[Y] Yes

  8. Conecte-se à instância como administrador do DSRM e confirme se a linha de comando lista a recuperação como bem-sucedida. Para continuar, pressione Enter.

  9. Clique no menu Iniciar e, em seguida, insira Executar.

  10. Escolha Executar e, em seguida, execute o seguinte comando:

msconfig
  1. Em Opções de inicialização, desmarque Inicialização segura e escolha OK.
  2. Para desativar o DSRM, escolha Reiniciar.
  3. Prossiga para o tópico Execute verificações de integridade do controlador de domínio para confirmar se o controlador de domínio funciona conforme o esperado.

Restaure a partir de um backup do controlador de domínio com as funções FSMO

Observação: Nas etapas de resolução a seguir, DC01 é o controlador de domínio com as funções FSMO. DC02 é outro controlador no domínio que não tem as funções FSMO.

Conclua as etapas a seguir:

  1. Use o RDP para se conectar ao DC01.

  2. Configure o DC01 para inicializar no DSRM.
    Observação: Se sua instância estiver off-line e inacessível, consulte Para inicializar uma instância offline no DSRM em Configurar uma instância para ser inicializada no DSRM.

  3. Reinicie seu computador.

  4. Interrompa o DC02.

  5. Conecte-se ao DC01 como administrador do DSRM.
    Observação: Para fazer login como administrador, digite seu nome de usuário no formato Hostname\Administrator.

  6. Execute o comando a seguir para verificar o identificador da versão do backup:

    wbadmin get versions

  7. Execute o comando a seguir para fazer uma restauração autoritativa do estado do sistema:

    wbadmin start systemstaterecovery -version:version_identifier -authsysvol -quiet

    Observação: Substitua version_identifer pelo identificador de versão do backup. Depois de concluir as etapas de resolução, você deve repeti-las para o DC02. Para o DC02, remova -authsysvol do comando anterior para fazer uma restauração não autoritativa do estado do sistema.

  8. Depois que o DSRM concluir a restauração, pressione Y no prompt a seguir para reiniciar o computador:

    A computer restart is required to complete the system state recovery operation.
Press [Y] to restart the computer now.
[Y] Yes

  9. Conecte-se ao DC01 como administrador do DSRM e confirme se a linha de comando lista a recuperação como bem-sucedida. Para continuar, pressione Enter.

  10. Clique no menu Iniciar e, em seguida, insira Executar.

  11. Escolha Executar e, em seguida, execute o seguinte comando:

msconfig
  1. Em Opções de inicialização, desmarque Inicialização segura e escolha OK.
  2. Para desativar o DSRM, escolha Reiniciar.
  3. Conecte-se ao DC01 como administrador.
  4. Modifique o grupo de segurança anexado ao DC02 ou anexe um novo grupo de segurança para garantir que o DC02 não possa se comunicar com o DC01 restaurado.
  5. Inicie o DC02.
  6. Configure o DC02 para inicializar no DSRM.
  7. Reinicie seu computador.
    Observação: Após iniciar, pode levar alguns minutos até que você possa fazer login no DC02.
  8. Atualize o grupo de segurança anexado ao DC02 para permitir a comunicação entre o DC01 e o DC02.
  9. Repita as etapas 5 a 13 para o DC02.
  10. Prossiga para o tópico Execute verificações de integridade do controlador de domínio para confirmar se o controlador de domínio funciona conforme o esperado.

Restaure quando você não tiver um backup do controlador de domínio com as funções FSMO

Observação: Nas etapas de resolução a seguir, DC01 é o controlador de domínio com as funções FSMO. DC02 é outro controlador no domínio que não tem as funções FSMO.

Mova as funções FSMO para o DC02

Conclua as etapas a seguir:

  1. Use o RDP para se conectar ao DC02.

  2. Configure a instância para inicializar no DSRM.
    Observação: Se sua instância estiver off-line e inacessível, consulte Para inicializar uma instância offline no DSRM em Configurar uma instância para ser inicializada no DSRM.

  3. Reinicie seu computador.

  4. Interrompa o DC01.

  5. Conecte-se ao DC02 como administrador do DSRM.
    Observação: Para fazer login como administrador, digite seu nome de usuário no formato Hostname\Administrator.

  6. Execute o comando a seguir para verificar o identificador da versão do backup:

    wbadmin get versions

  7. Execute o comando a seguir para restaurar o estado do sistema:

    wbadmin start systemstaterecovery -version:version_identifier -authsysvol -quiet

    Observação: Substitua version_identifer pelo identificador de versão do backup.

  8. Depois que o DSRM concluir a restauração, pressione Y no prompt a seguir para reiniciar o computador:

    A computer restart is required to complete the system state recovery operation.
Press [Y] to restart the computer now.
[Y] Yes

  9. Conecte-se à instância como administrador do DSRM e confirme se a recuperação do estado do sistema foi bem-sucedida. Para continuar, pressione Enter.

  10. Clique no menu Iniciar e, em seguida, insira Executar.

  11. Escolha Executar e, em seguida, execute o seguinte comando:

msconfig
  1. Em Opções de inicialização, desmarque Inicialização segura e escolha OK.
  2. Para desativar o DSRM, escolha Reiniciar.
  3. Conecte-se ao DC02 como administrador.
    Observação: Para fazer login como administrador, digite seu nome de usuário no formato DOMAIN\Administrator.
  4. Aguarde cerca de cinco minutos e execute o seguinte comando para confirmar se o SYSVOL e o NETLOGON estão compartilhados no controlador de domínio:
net share

Se os compartilhamentos de SYSVOL e NETLOGON estiverem ausentes na saída, prossiga para o tópico Solucione problemas de compartilhamento de SYSVOL ausente.
Exemplo de saída:

>net share
Share name   Resource                        Remark
-------------------------------------------------------------------------------
C$           C:\                             Default share
D$           D:\                             Default share
IPC$                                         Remote IPC
ADMIN$       C:\Windows                      Remote Admin
The command completed successfully.
  1. Abra o Prompt de comando como administrador no DC02 e execute o seguinte comando:
ntdsutil

Para cada prompt, insira os seguintes valores:

ntdsutil: roles
fsmo maintenance: connections
server connections: connect to server dc02

Observação: Substitua dc02 pelo nome do seu servidor. Depois de inserir os prompts anteriores, você recebe a seguinte mensagem:
"Binding to dc02 ...
Connected to dc02 using credentials of locally logged on user."
Para continuar, pressione q. 17. Para mover as funções FSMO para o DC02, execute os seguintes comandos:

fsmo maintenance: seize schema master
fsmo maintenance: seize naming master
fsmo maintenance: seize pdc
fsmo maintenance: seize rid master
fsmo maintenance: seize infrastructure master

Observação: Na caixa de Diálogo de confirmação de apreensão de função, escolha Sim para apreender a função FSMO.
Exemplo de saída:

Attempting safe transfer of schema FSMO before seizure.
ldap_modify_sW error 0x34(52 (Unavailable).
Ldap extended error message is 000020AF: SvcErr: DSID-03210550, problem 5002 (UNAVAILABLE), data 1722
Win32 error returned is 0x20af(The requested FSMO operation failed. The current FSMO holder could not be contacted.)
)
Depending on the error code this may indicate a connection,
ldap, or role transfer error.
Transfer of schema FSMO failed, proceeding with seizure ...
Server "dc02" knows about 5 roles
Schema - CN=NTDS Settings,CN=DC02,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=corp,DC=example,DC=com
Naming Master - CN=NTDS Settings,CN=DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=corp,DC=example,DC=com
PDC - CN=NTDS Settings,CN=DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=corp,DC=example,DC=com
RID - CN=NTDS Settings,CN=DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=corp,DC=example,DC=com
Infrastructure - CN=NTDS Settings,CN=DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=corp,DC=example,DC=com
  1. Para confirmar se o DC02 tem as funções FSMO, execute o seguinte comando:
netdom query fsmo

Exemplo de saída:

> netdom query fsmo
Schema master               DC02.corp.example.com
Domain naming master        DC02.corp.example.com
PDC                         DC02.corp.example.com
RID pool manager            DC02.corp.example.com
Infrastructure master       DC02.corp.example.com
The command completed successfully.

Exclua os metadados do servidor do controlador de domínio

Conclua as etapas a seguir:

  1. Exclua o objeto do computador. Para obter instruções, consulte Limpar metadados do servidor usando Usuários e Computadores do Active Directory no site da Microsoft.

  2. Exclua os objetos de conexão de todos os controladores de domínio que você removeu à força. Para obter instruções, consulte Limpar metadados do servidor usando Sites e Serviços do Active Directory no site da Microsoft.
    Observação: Para excluir um objeto de controlador de domínio, em Servidor, abra o menu de contexto (clique com o botão direito do mouse) para visualizar Configurações de NTDS e escolha Todas as tarefas. Escolha Verificar topologia de replicação e, em seguida, escolha Ok. Para validar que você excluiu o objeto, abra o menu de contexto (clique com o botão direito do mouse) para visualizar Configurações de NTDS e escolha Atualizar.

  3. Exclua os registros DNS. Para obter instruções, consulte Excluir registros de recursos de DNS no site da Microsoft.

  4. Para abrir o editor Active Directory Service Interfaces (ADSI), execute o seguinte comando:

    adsiedit.msc

  5. Abra o menu de contexto (clique com o botão direito do mouse) para visualizar ADSI Edit e escolha Conectar a...

  6. Na caixa de diálogo Configurações de conexão, escolha Selecionar um contexto de nomenclatura conhecido.

  7. Em Ponto de conexão, escolha Contexto de nomenclatura padrão e, em seguida, escolha OK.

  8. No painel de navegação, expanda Contexto de nomenclatura padrão - DomainName -CN=DFSR-GlobalSettings - CN=Domain System Volume - CN=Topology.

  9. Verifique se há objetos com a convenção de nomenclatura CN-DomainControllerToDelete. Abra o menu de contexto (clique com o botão direito do mouse) do objeto no controlador de domínio e escolha Excluir.
    Observação: Substitua DomainControllerToDelete pelo nome do controlador de domínio que você deseja excluir.

  10. Na caixa de diálogo ADSIEdit, escolha Sim para excluir o objeto.

Crie um novo controlador de domínio para substituir o DC01

Depois de limpar os metadados, encerre a instância original do controlador de domínio DC01.

Em seguida, conclua as etapas a seguir para criar um novo controlador de domínio para substituir o DC01:

  1. Inicie uma nova instância com uma AMI que usa a mesma versão do sistema operacional (SO) Windows do DC01 original.
  2. (Opcional) Anexe volumes do Amazon Elastic Block (Amazon EBS) à nova instância que tenham o mesmo tamanho dos volumes no DC01.
  3. Para manter o mesmo endereço IP do DC01, especifique o endereço IP na inicialização ou use a interface de rede elástica que você conectou ao DC01.
  4. Altere o nome do host da instância para o mesmo nome da instância DC01 original e, em seguida, associe a instância ao domínio do Active Directory.
  5. Promova o DC01 a um controlador de domínio.
  6. Prossiga para o tópico Execute verificações de integridade do controlador de domínio para confirmar se os controladores de domínio funcionam conforme o esperado.

Execute verificações de integridade do controlador de domínio

Depois de restaurar seus controladores de domínio, execute os seguintes comandos em seu novo controlador ou controladores de domínio para realizar uma verificação de integridade do controlador de domínio. Para obter mais informações sobre cada comando, consulte Net share (Compartilhamento de rede), Repadmin e DCDiag no site da Microsoft.

Para validar se os compartilhamentos de NETLOGON e SYSVOL estão em seu sistema, execute o seguinte comando:

net share

Exemplo de saída:

>net share
Share name   Resource                        Remark
-------------------------------------------------------------------------------
C$           C:\                             Default share
IPC$                                         Remote IPC
ADMIN$       C:\Windows                      Remote Admin
NETLOGON     C:\Windows\SYSVOL\sysvol\corp.example.com\SCRIPTS
                                             Logon server share
SYSVOL       C:\Windows\SYSVOL\sysvol        Logon server share
The command completed successfully.

Se os compartilhamentos de SYSVOL e NETLOGON estiverem ausentes na saída, prossiga para o tópico Solucione problemas de compartilhamento de SYSVOL ausente.

Para verificar se a replicação entre os controladores de domínio funciona conforme o esperado, execute o seguinte comando:

repadmin /showrepl

Exemplo de saída:

DC=ForestDnsZones,DC=corp,DC=example,DC=com
    Default-First-Site-Name\DC02 via RPC
        DSA object GUID: e721c73e-c6ed-420b-98d1-b7cc4f231f86
        Last attempt @ 2025-07-07 12:58:21 failed, result 1908 (0x774):
            Could not find the domain controller for this domain.
        1 consecutive failure(s).
        Last success @ 2025-07-06 14:48:34.
Source: Default-First-Site-Name\DC02
******* 1 CONSECUTIVE FAILURES since 2025-07-06 14:48:34
Last error: 1908 (0x774):
            Could not find the domain controller for this domain.

Se a saída do comando mostrar erros semelhantes aos do exemplo anterior, aguarde alguns minutos e tente novamente. Esses erros ocorrem se você estiver executando ativamente a replicação entre controladores de domínio.

Para verificar o status operacional do controlador de domínio, execute o seguinte comando:

dcdiag /v

Observação: A saída pode conter falhas de teste para SystemLog ou DFSREvent. Isso normalmente ocorre devido a erros que o log de eventos registrou durante o processo de restauração. Se o log de eventos não registrar mais erros após a conclusão da restauração, ignore as falhas do teste.

Exemplo de saída:

......................... DC01 failed test DFSREvent
...
......................... DC01 failed test SystemLog

Além disso, verifique os logs de eventos do Windows, como Sistema, Directory Service, Servidor DNS e Replicação de DFS, para ver se há erros que você deve resolver.

Solucione problemas de compartilhamento de SYSVOL ausente

Conclua as etapas a seguir:

  1. Para verificar o estado da replicação inicial do controlador de domínio, execute o seguinte comando como administrador:

    Get-CimInstance -Namespace "root\microsoftdfs" -ClassName "DfsrReplicatedFolderInfo"

    Na saída, se o Estado não for 4, haverá problemas com a Replicação do sistema de arquivos distribuído. Para solucionar esse problema, abra um caso do AWS Support.

  2. Abra um Prompt de comando como administrador e execute o seguinte comando para verificar se o SYSVOL está compartilhado:

    reg query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters | findstr SysvolReady
    SysvolReady    REG_DWORD    0x0

    Na saída, confirme se SysvolReady tem o valor 0. Se SysVolReady for 1 e o SYSVOL não estiver compartilhado, o problema é um banco de dados corrompido do Sistema de arquivos distribuído ou problemas de sincronização do Active Directory. Para obter assistência na solução de problemas, abra um caso do AWS Support.

  3. Para definir SysvolReady como 1, execute o seguinte comando:

    reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters /v SysvolReady /t REG_DWORD /d 1

    Observação: Responda sim ao prompt O valor SysvolReady existe, sobrescrever (Sim/Não)?.

  4. Para confirmar suas alterações, execute o seguinte comando:

    reg query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters | findstr SysvolReady
    SysvolReady    REG_DWORD    0x1

  5. Para reiniciar o serviço netlogon, execute os seguintes comandos:

    net stop netlogon
    net start netlogon

  6. Para confirmar se o SYSVOL e o NETLOGON estão compartilhados, execute o seguinte comando:

    net share

    Exemplo de saída:

    > net share
Share name   Resource                        Remark
-------------------------------------------------------------------------------
C$           C:\                             Default share
D$           D:\                             Default share
IPC$                                         Remote IPC
ADMIN$       C:\Windows                      Remote Admin
NETLOGON     C:\Windows\SYSVOL\sysvol\corp.example.com\SCRIPTS
                                             Logon server share
SYSVOL       C:\Windows\SYSVOL\sysvol        Logon server share
The command completed successfully.

Para confirmar se a replicação de SYSVOL entre DC01 e DC02 está funcionando conforme o esperado, conclua as seguintes etapas:

  1. Conecte-se ao DC01 e adicione um arquivo de teste em C:\Windows\SYSVOL\sysvol\domain_dns_name\.
    Observação: substitua domain_dns_name pelo DNS do seu domínio.
  2. Conecte-se ao DC02 e verifique C:\Windows\SYSVOL\sysvol\domain_dns_name\ para confirmar que o SYSVOL replicou o arquivo.
    Observação: substitua domain_dns_name pelo DNS do seu domínio. Com base nas configurações do intervalo de replicação, o SYSVOL pode demorar várias horas para replicar.
  3. Repita as etapas 1 e 2, mas adicione o arquivo de teste ao DC02 e verifique a replicação do DC01 a partir de um backup do controlador de domínio com as funções FSMO.
Tópicos
Compute
Tags
Amazon EC2Windows
Idioma
Português
AWS OFICIALAtualizada há 8 meses
Sem comentários

Conteúdo relevante