Windows 2008數據挖掘與活動目錄快照
在我們一系列對Windows Server 2008的報道文章中，前一篇重點介紹了數據挖掘工具(Database Mounting Tool)的應用，它的功能在于裝載備份的活動目錄(Active Directory)文件，該備份可由微軟自帶的或是第三方軟件提供的卷影拷貝服務(Volume Shadow Copy Service , VSS)所創建。在前文中，我們詳述了數據裝載工具在災難恢復中的優點，并且列舉了一些用以訪問歷史數據的工具。除了系統級或卷級別的備份方式，ntdsutil命令行工具中的ifm命令對目錄服務數據的備份，還可以用快照方式建立起驅動器中活動目錄文件的備份，需要時查看時間點進行還原。
而在本文中，我們將繼續介紹Windows Server 2008域控制器引入的新特性，并一如既往地為您推薦一些使操作更為簡便的第三方軟件。
一、 快照功能與系統性能的平衡
對于經常使用快照的用戶來說，既要使快照的功能得到盡可能的發揮，又要保證快照的應用對活動目錄的性能影響降至***。因此，在使用中有以下幾點需要注意：
(1) 卷頁的內容和狀態在快照中的保存形式是不同的；
(2) 雖說快照的大小取決于系統的變化和保存的時間，但通常來說，它一般很小，并且要求能被迅速查看；
(3) 快照的信息來源于卷頁，因此它需要依賴磁盤的運行。快照工作基于copy on-write的方式會使得磁盤I/O工作量上升，這有可能會對系統的整體性能產生影響；
(4) 必需意識到，快照不能直接用于活動目錄對象的存儲備份工作(得用真實的系統狀態和關鍵卷頁備份)。快照的主要功能是為了使用戶迅速地創建和瀏覽特定時間段的活動目錄狀態，如此一來，就可以很容易的發現特定內容的改變，從而方便用戶選定最適合的還原狀態。同時，這也提供了一種審計和對系統狀態改變的追蹤功能；
(5) 從更深一層的角度來看，快照還能快捷地抽取任一相關的歷史信息用以插入到用Tombstone Reanimation功能恢復的對象信息中，或是用于對誤操作的恢復。
二、快照的操作
快照的創建一般可用ntdsutil命令行工具來實現，而ntdsutil既可在控制臺下直接啟動，也可通過Windows Sever 2008域控制器的終端服務會話遠程啟動。一旦進入ntdsutil，輸入Activate Instance NTDS（當然也可以把活動實例改設為AD LDS）。然后依次輸入snapshot→creat命令，稍過片刻系統即提示成功生成快照集，并得到一個唯一的識別碼(GUID)。為確認已創建的快照，可以執行list all來查看同一目錄所有的活動快照的列表(包括創建日期和時間)。以上的步驟也可以通過下面的快照自動生成命令作為一個計劃任務來實現：
ntdsutil "Activate Instance NTDS" snapshot create quit quit
生成的快照必須通過DSAMAIN.exe裝載后才能訪問。首先，在命令行上輸入mount，后面跟著擬裝載快照的系統編號或是GUID。快照的編號由字符串"$SNAP"、快照創建的時間和日期（軍用格式）、目標卷三部分組成，如$SNAP_200808082008_VOLUMEC$。除了以上部分，還需要輸入活動目錄NTDS.DIT文件的路徑全稱，配合應用數據裝載工具的-dbpath選項，因此如果采用默認的數據庫和日志文件設置，格式變為：
$SNAP_200808082008_VOLUMEC$\Windows\NTDS\NTDS.DIT
完成對快照的瀏覽后，如需中止DSAMAIN.EXE和卸載快照，可以調用unmount命令，后跟欲卸載快照的系統編號或是GUID。刪除無用的快照使用的是delete命令，格式上與快照的裝載、卸載相一致。快照操作的語法大全可以參照Windows Server 2008技術知識庫。
#P#三、操作優化的第三方軟件
快照的出現大大簡化了由于對活動目錄的誤操作引發的還原步驟，然而，實際操作中的還原步驟依舊繁多，包括Tombstone Reanimation還原功能的設置，以及屬性的還原等。大量免費第三方軟件的出現改變了以往的紛雜，它們使得整個操作變得行云流水般順暢。以下就是它們中的一些著名代表。（已經商業化的第三方軟件，如UMove，不在我們的介紹范圍內。）
1． Snapshot Recovery Tool
1Identity公司出品的Snapshot Recovery Tool提供免費下載，它包含一個命令行式的oirecmgr.exe工具集，能夠提供對象還原，并可將Database Mounting Tool裝載的LDAP實例的屬性參數（可以是活動目錄快照，或VSS備份的NTDS.DIT文件）備份至任一Windows Server 2008域控制器下。Snapshot Recovery Tool可在Windows Server 2003 和 2008中的兩種活動目錄環境中運行，但要注意它不能同時對兩種屬性進行還原。
雖然Snapshot Recovery Tool采用.NET Framework 2.0框架，但它可在Windows XP Professional或Vista下被遠程啟動。在命令行中用多重-o選項指定GUID可進行任意對象文件的恢復；或是先將對象存于文本文件，用-of選項獲取對象名稱，并得到特定格式的屬性，然后再進行恢復操作。舉個例子，以下的命令(直接從域控制器USDC-NYC001的控制臺運行)將對已被刪除的GUID為7abadaba-daba-d000-0d15-c015dead的對象重標識，還原它的屬性，并由33389端口訪問活動目錄快照提取出相關信息來恢復前后的鏈接關系，比如用戶的組成員。還原過來的用戶帳號的密碼已經失效，在使用前需要重新設置，因此下面的命令并不能還原帳號的密碼。
oirecmgr.exe -o 7abadaba-daba-d000-0d15-c015dead -sh USDC-NYC001:33389 -ol -real
2． Directory Service Comparison Tool
Directory Service Comparison Tool提供的功能與上面的相似，同樣也可從網上免費下載使用，分為x86和x64兩個版本，但特點在于采用了微軟管理控制臺的圖形界面系統。要對軟件進行設置，可在樹形節點的菜單下選擇Datasource Settings，彈出對話框后指定目標域控制器和快照服務器名稱，快照可由DSAMAIN.EXE指定LDAP端口裝載。控制臺的窗格劃分為3個部分，分別列出的是DSA裝載的LDAP目錄服務庫的修改、添加和刪除項。不過，該軟件在使用功能上有一定的局限性，可能是因為設計的缺陷對活動目錄快照中記錄的highestCommittedUSN屬性造成了影響。與Snapshot Recovery Tool一樣，該軟件的運行也需 要安裝.NET Framework 2.0平臺，還有MMC3.0，并且支持遠程安裝到Windows XP Professional 或 Vista 系統下。
3． Active Directory Explorer
Active Directory Explorer由Sysinternals小組(Bryce Cogswell和Mark Russinovich)開發，它獨特之處在于能不依賴Windows Server 2008活動目錄提供的功能而自身創建快照，并且所有版本均具備這個功能。它能登陸到域控制器獲取在線活動目錄環境的信息，或是讀取備份和用DSAMAIN.EXE裝載的兼容VSS快照。另外，它還存儲任意位置的信息以便脫機瀏覽。總之，這種直觀圖形界面式的AD Explorer方便了項目的瀏覽，并有查詢和對比功能，大大簡化了用戶的操作。
如果你需要大型應用環境下的更多高級功能，如自動運行、報告和記錄，并且希望軟件能支持除Windows Server 2008活動目錄外的更多環境，可能就需要考慮一下已經商業化的第三方軟件。如Quest公司的Recovery Manager for Active Directory，UTools公司的UMove for Active Directory，還有ScriptLogic的Active Administrator。
以上主要介紹了數據挖掘工具以及與之相關的活動目錄快照的功能。在下一篇中，我們將對Windows Server 2008域控制器下全新的審核機制做一個深入的觀察。
【編輯推薦】
