ADRestore schlägt fehl.

[prettypitty 10]

Hallo an Alle,

 

ich habe gestern ein kleines/mittleres Problem gehabt und nicht verstanden warum die gefundene Lösung nicht funktioniert.

 

1. Problem:

 

Es wurde aus dem AD ein komplette OU mit all seinen Unterobjekten gelöscht. Inhalt der OU waren alle Client Computer Accounts.

 

1. Lösung:

 

Nach ein bisschen Suche bin ich auf ADrestore.exe und ADrestore.Net gestoßen. Ich konnte damit alle OUs und alle Objekte erfolgreich

wiederherstellen. Danach muss man das Objekt nur wieder aktivieren und alles ist supi (hatte ich gedacht, grins)

 

2. Problem:

 

Ich hat mich schon gefreut das mein Telefon so still geblieben ist aber nach einem Test mit einem Computer musste ich feststellen das

die User weiterarbeiten können aber sobald der Rechner einmal neu startet kann man sich nicht mehr an der Domäne anmelden.

Im Ereignisprotokoll kommt ein "Netlogon" Fehler:

 

Inhalt Netlogon Fehler:

 

Die Einrichtung einer Sitzung von Computer "DESKTOP-WINXP" ist an der Authentifizierung gescheitert.

Der/die Kontoname(n) in der Sicherheitsdatenbank lauten DESKTOP-WINXP$. Folgender Fehler ist aufgetreten:

Zugriff verweigert

 

Hier musste ich nun feststellen das Maschinen Objekt mit eine "$" am Ende wiederhergestellt wird und dann kommt es zu obigen Netlogon Fehler.

 

2. Lösung:

Jeden Client Rechner aus der Domäne rausnehmen und wieder hinzufügen.

 

So wo liegt den mein Fehler? Bei meinem Netzwerk mit 80 Clients geht das ja noch aber was macht man wenn man 1000 Clients hat?

 

Ich habe folgende Anleitung gefunden das dieses Problem mit dem Unicode-PWD von dem AD Objekt zusammenhängt.

 

Link: 2008 February « Ed McKinzie's Technical Blog ...

 

Kann man diese Änderung einfach machen und dann geht der Restore ohne manuellen Eingriff?

 

Danke schonmal im vorraus für eure Hilfe

 

Gruss

[Gast]

Hi,

 

in so einem Fall braucht man doch einfach nur einen Restore mittels Windows Server Backup auf einem DC durchführen und mittels ntdsutil den Restore für die OU als autorisierend markieren.

 

Nach einem Reboot und einer erfolgreichen Replizierung zu den anderen DCs ist doch alles wieder OK.

 

Das ist mit Sicherheit der deutlich bessere und saubere Weg.

 

Gruss,

Adrian

[NilsK 2.930]

Moin,

 

ADrestore und Konsorten stellen nur den Tombstone wieder her. Dieser enthält nur einige Rumpfdaten, aber nicht das Kennwort, Gruppenmitgliedschaften usw. Erst mit Windows 2008 R2 ist es möglich, den sog. "AD-Papierkorb" zu aktivieren, durch den der Tombstone alle Daten enthält. Du solltest keine manuelle Manipulation an der Tombstone-Definition vornehmen, das kann erhebliche Folgeprobleme erzeugen und dürfte unsupported sein.

 

Hier ein Tutorial zum Object Restore für AD:

faq-o-matic.net » Video-Tutorial: Active Directory Object Recovery

 

Gruß, Nils

[prettypitty 10]

Super Danke für die schnellen Antworten.

 

Werde demnächst sowieso eine reine W2K8 R2 Domäne mit Papierkorb haben werden dann dieses Problem nicht mehr haben.

 

Werde mir aber mal den Beitrag reinziehen bei faq-matic reinziehn.

 

Endlich mal ein Forum indem man qualifizierte Anworten bekommt.

 

Gruss

[prettypitty 10]

Hi,

 

wow der Beitrag bei Faq-o-matic.net ist ja mal total genial. Hätte ich den mal vorher gehabt dann wäre mir viel Handarbeit erspart geblieben, grins

 

Gruss

[P.Foeckeler 11]

Was den AD Recycle Bin unter W2K8 R2 und den Umgang mit Tombstone-Reanimation vs. echter Objekt-Recovery angeht, möchte ich noch auf das kostenlose GUI-Tool dazu verweisen:

 

LAZARUS - Active Directory Deleted Objects Recovery

 

Gruß,

Philipp