Active Directory.pdf - Gattner

Konfigurieren der AD DS- und AD LDS-Synchronisierung 643
Autorisierendes Wiederherstellen einer AD LDS-Instanz
Wie bei den AD DS können Sie autorisierende Wiederherstellungen von AD LDS-Daten durchführen,
die versehentlich gelöscht oder geändert wurden. Wenn die AD LDS-Daten nicht auf einen anderen
Server repliziert werden, können Sie eine normale Wiederherstellung ausführen. Wenn die AD
LDS-Daten allerdings auf einen anderen Server repliziert werden, müssen Sie diese Objekte autorisierend
wiederherstellen, damit die ordnungsgemäße Version der Objekte repliziert wird.
Führen Sie für eine autorisierende Wiederherstellung von Verzeichnisdaten zuerst eine normale Wiederherstellung
aus. Führen Sie anschließend vor dem Neustart der AD LDS-Instanz das Programm
Dsdbutil aus, um Verzeichnisobjekte für die autorisierende Wiederherstellung zu markieren. Wenn ein
Objekt für die autorisierende Wiederherstellung markiert ist, ändert sich sein USN-Wert (Update
Sequence Number), sodass der Wert höher als andere USN-Werte im Konfigurationssatz ist. Dies
stellt sicher, dass Daten, die Sie wiederherstellen, im gesamten Konfigurationssatz ordnungsgemäß
repliziert werden.
Führen Sie für eine autorisierende Wiederherstellung die folgenden Schritte aus:
1. Beenden Sie die AD LDS-Instanz, und stellen Sie die Daten wieder her. Je nachdem, wie die
Sicherung erfolgt ist, können Sie die Daten mit Ihrem Sicherungsprogramm oder Dsbdutil wiederherstellen.
2. Starten Sie vor dem Neustart der Instanz das Programm Dsbdutil, und aktivieren Sie die wiederherzustellende
Instanz durch Eingeben von Dsbdutil activate Instanzname.
3. Geben Sie authoritative restore ein.
4. Geben Sie an der Eingabeaufforderung von authoritative restore einen der folgenden Befehle ein:
restore object dn Dieser Befehl führt eine autorisierende Wiederherstellung eines Verzeichnisobjekts
aus, dessen definierter Name von dn angegeben wird. Um z.B. ein bestimmtes
Benutzerkonto wiederherzustellen, können Sie Folgendes eingeben: restore object
"CN=Gregory Weber,OU=Users,O=App2,DC=Adatum,DC=com".
restore subtree dn Dieser Befehl führt eine autorisierende Wiederherstellung einer Verzeichnisunterstruktur
aus, deren definierter Name von dn angegeben wird. Um beispielsweise eine
Organisationseinheit wiederherzustellen, können Sie Folgendes eingeben: restore subtree
"OU=Users,O=App2,DC=Adatum,
DC=com".
5. Beenden Sie Dsdbutil, und starten Sie die AD LDS-Instanz neu.
Konfigurieren der AD DS- und AD LDS-Synchronisierung
Eine der gängigsten Möglichkeiten zum Integrieren der AD DS mit den AD LDS ist das Verwenden
von AD DS-Benutzerkonten bei der Konfiguration der Autorisierung in den AD LDS. Um diesen
Grad der Integration zu implementieren, müssen Sie außer der Installation der AD LDS auf einem
Computer, der entweder Teil derselben AD DS-Domäne wie die Benutzerkonten ist oder sich in einer
vertrauenswürdigen Domäne befindet, keine weiteren Schritte ausführen. Bei Installation als Domänenmitglied
können die AD DS-Benutzerkonten Zugriffsteuerungslisten in den AD LSD direkt zugewiesen
oder AD LDS-Gruppen hinzugefügt werden, die Zugriffsteuerungslisten zugewiesen sind.