Windows Server с нуля 11. Резервное копирование сервера и контроллера домена

Диск сервера отказывает, администратор удаляет не ту организационную единицу, шифровальщик портит общие папки. Выручает только проверенная копия. У контроллера домена (DC) есть особенность: каталог Active Directory реплицируется между серверами, поэтому неудачное восстановление способно навредить всему домену, а не одной машине.

Общие принципы (правило 3-2-1, допустимая потеря данных и время восстановления, офлайн-копии) разобраны в статье Резервное копирование: правило 3-2-1 и защита от шифровальщиков; здесь речь только о Windows Server. В статье вы:

• разберётесь, чем состояние системы (system state) отличается от образа для восстановления на «голое железо» (BMR, bare-metal recovery), снимете копию DC1, настроите расписание и проверите восстановление;
• узнаете, как устроено восстановление Active Directory и почему откат виртуального контроллера опасен.

Что нужно знать заранее

• Windows Server с нуля 02: таблица «Стенд целиком» и врезка «Добавляем диск данных» (понадобятся для диска E:).
• Windows Server с нуля 03: контроллеры DC1 и DC2, репликация, SYSVOL, пароль DSRM.
• Windows Server с нуля 05: корзина Active Directory и защита OU от случайного удаления.
• Windows Server с нуля 06 и Windows Server с нуля 07: копии GPO и DHCP.
• Названия окон, политик и параметров даны по английской документации Microsoft: русской версии у этих страниц нет либо она машинная. В русском интерфейсе они переведены, ориентируйтесь на путь и смысл.

DSRM (Directory Services Restore Mode, режим восстановления службы каталогов) — особый режим загрузки контроллера: служба AD DS не запускается, а вход выполняется под локальной «офлайн»-учётной записью администратора со своим паролем, который задают при повышении сервера до контроллера. Без этого пароля восстановление каталога не начать.

Что копировать: данные, состояние системы, образ

В состояние системы входят загрузочные файлы, реестр (включая настройки COM), папка SYSVOL, на контроллере — база Active Directory (файл NTDS.dit), а при установленных службах сертификатов — хранилище сертификатов.

Образ BMR содержит критические тома, то есть всё, что нужно для запуска ОС, и позволяет поднять сервер на чистом диске или на другом оборудовании. Он включает и состояние системы. Для контроллеров это важно: чтобы восстановить Active Directory, копия должна явно содержать состояние системы, а обычная копия томов его не содержит. Поэтому рекомендуют полную копию, пригодную и для BMR, и для восстановления состояния системы; из образа к тому же восстанавливаются быстрее.

Копируйте регулярно не меньше двух записываемых контроллеров (DC1 и DC2): тогда будет из чего выбирать. Копия контроллера только для чтения (RODC) для восстановления записываемого не годится. Теневые копии («Предыдущие версии» файлов, см. Windows Server с нуля 08) копией не считаются: по умолчанию они лежат на том же томе и пропадают вместе с ним.

Windows Server Backup и wbadmin

Windows Server Backup — встроенное средство: компонент Windows-Server-Backup, по умолчанию не установленный. Управлять им можно из консоли (Server Manager → Tools → Windows Server Backup), командой wbadmin и командлетами модуля WindowsServerBackup. Запускать wbadmin нужно из консоли «От имени администратора». Разовое копирование и восстановление разрешены членам групп Administrators и Backup Operators.

Куда писать копию: на том (буква диска или GUID-путь вида \\?\Volume{...}, GUID — уникальный идентификатор тома) либо в сетевую папку по UNC-пути (\\сервер\папка). У хранилищ есть особенности:

• сетевая папка: повторная копия того же компьютера в ту же папку перезаписывает предыдущую; если новая окажется неудачной, не останется ни старой, ни новой. Выход — подпапки для разных копий (места нужно вдвое больше). Это верно и для расписания;
• расписание на диск: при wbadmin enable backup -addtarget:<диск> указанный диск форматируется, и все данные на нём теряются;
• образ BMR: целью не может быть один из копируемых критических томов.

Доступ к копии определяют права общей папки и тома, поэтому ограничивайте их: в копии контроллера лежит база Active Directory, обращайтесь с ней как с паролем администратора домена.

Практика 1. Диск E:, общая папка и каталоги

В примерах у DC1 два диска: системный C: и отдельный виртуальный E:, который существует только для копий (как добавить диск, показано во врезке «Добавляем диск данных» в Windows Server с нуля 02).

Get-Volume -DriveLetter E |
  Select-Object DriveLetter, DriveType, FileSystem, Size, SizeRemaining

Вторая копия — скрытая общая папка Backups$ на FS1 (имя на $ скрывает её из обзора сети, но не заменяет права). Выполните на FS1. Имя группы администраторов зависит от языка Windows, поэтому берём его по SID, как в Windows Server с нуля 08. Права NTFS ограничиваем icacls (там же оговорка об имени параметра /inheritance): администраторы и SYSTEM (S-1-5-32-544 и S-1-5-18) получают полный доступ, унаследованные права убираются. Откат: icacls D:\DCBackups /reset.

New-Item -ItemType Directory -Force -Path D:\DCBackups
$adm = (Get-LocalGroup -SID S-1-5-32-544).Name
New-SmbShare -Name 'Backups$' -Path D:\DCBackups -FullAccess $adm
icacls D:\DCBackups /inheritance:r `
  /grant '*S-1-5-32-544:(OI)(CI)F' '*S-1-5-18:(OI)(CI)F'

На DC1 создайте локальные каталоги для копий конфигураций и улик (ими пользуются статьи про GPO, DHCP и обслуживание) и ограничьте права так же. Откат: icacls C:\Backup /reset. После этого убедитесь, что Backup-DhcpServer по-прежнему пишет в C:\Backup\DHCP: требования к правам каталога в справке командлета не описаны.

New-Item -ItemType Directory -Force `
  -Path C:\Backup\GPO, C:\Backup\DHCP, C:\Backup\Evidence
icacls C:\Backup /inheritance:r `
  /grant '*S-1-5-32-544:(OI)(CI)F' '*S-1-5-18:(OI)(CI)F'

Практика 2. Установка и первая копия

Выполните на DC1 и на DC2 в PowerShell «От имени администратора»:

Install-WindowsFeature -Name Windows-Server-Backup
(Get-WindowsFeature -Name Windows-Server-Backup).Installed

Вторая команда должна вернуть True. Теперь на DC1 однократная копия в виде образа BMR вместе с состоянием системы на диск E: (параметр -quiet убирает вопросы):

wbadmin start backup -backupTarget:E: -allCritical -systemState -quiet

С такими параметрами wbadmin делает копию VSS-типа copy (VSS — Volume Shadow Copy Service, служба теневого копирования тома): история файлов не обновляется, поэтому другие программы копирования не страдают. Остановить операцию можно командой wbadmin stop job. Проверьте результат:

wbadmin get versions -backupTarget:E: -machine:DC1
wbadmin get items -version:<ВЕРСИЯ> -backupTarget:E: -machine:DC1

Пример вывода первой команды (формат приблизительный, значения вымышленные):

Backup time: 11/4/2026 6:00 PM
Backup target: E:
Version identifier: 11/04/2026-18:00
Can recover: Volume(s), File(s), Application(s), Bare Metal Recovery,
System State

<ВЕРСИЯ> — идентификатор формата ММ/ДД/ГГГГ-ЧЧ:ММ; копируйте его из вывода, а не вычисляйте. В строке «Can recover» должны быть Bare Metal Recovery и System State.

Практика 3. Копирование по расписанию

Создадим политику: образ BMR и состояние системы ежедневно в 22:00 на том E:.

$policy = New-WBPolicy
Add-WBBareMetalRecovery -Policy $policy
Add-WBSystemState -Policy $policy
$target = New-WBBackupTarget -VolumePath 'E:'
Add-WBBackupTarget -Policy $policy -Target $target
Set-WBSchedule -Policy $policy -Schedule 22:00
Set-WBPolicy -Policy $policy

Добавление BMR уже включает восстановление состояния системы; Add-WBSystemState лишь делает намерение явным. Документация предупреждает о форматировании только для диска (-Disk, -addtarget:<диск>); про том она ничего не обещает. Поэтому сначала отработайте команды на тестовой машине, внимательно прочитайте запрос подтверждения у Add-WBBackupTarget (параметр -Force, отключающий запрос, не используйте) и убедитесь, что на E: нет нужных данных. Политику покажут Get-WBPolicy и Get-WBSchedule, а результат через сутки — Get-WBSummary.

Расписание в сетевую папку каждый раз затирает предыдущую копию, поэтому копию вне сервера делайте разовыми командами в чередующиеся подпапки (DC1-A, DC1-B) по своему регламенту; у вашей учётной записи должна быть запись в Backups$. У DC2 на стенде нет диска E:, и его копией служит такая же команда с подпапкой DC2-A:

New-Item -ItemType Directory -Force `
  -Path '\\FS1\Backups$\DC1-A', '\\FS1\Backups$\DC1-B'
wbadmin start systemstatebackup -backupTarget:\\FS1\Backups$\DC1-A -quiet

Сама FS1 тоже должна попадать в схему 3-2-1, иначе вторая копия окажется единственной.

Практика 4. Проверка восстановления

Копия, которую не пробовали вернуть, остаётся предположением. Минимальная проверка — достать один файл в отдельную папку, не трогая рабочие:

mkdir E:\Restore-test
wbadmin start recovery -version:<ВЕРСИЯ> -itemType:File ^
  -items:C:\Windows\System32\drivers\etc\hosts ^
  -recoveryTarget:E:\Restore-test -backupTarget:E: -machine:DC1 -quiet

Символ ^ в конце строки переносит команду; если вводите вручную, подсказка More? появится сама. Параметр -machine обязателен вместе с -backupTarget. Откройте восстановленный файл и сравните с оригиналом. Для папки из D:\Shares на FS1 добавьте -recursive, чтобы вернуть вложенные файлы; при восстановлении на прежнее место -overwrite:CreateCopy создаёт копию вместо перезаписи.

Такую проверку повторяйте раз в месяц, а раз в год устраивайте учение: восстановите контроллер из копии в изолированной ВМ и засеките время (план восстановления леса советуют отрабатывать на стенде не реже раза в год).

Контроллер домена: что делать, когда что-то сломалось

Первый вопрос: нужно ли восстановление вообще.

Оснастки «Active Directory Users and Computers» и «Active Directory Sites and Services» в Windows Server 2012 и новее при удалении объекта контроллера сами очищают его метаданные. FSMO (роли хозяина операций) — см. старые статьи сайта про захват роли FSMO и удаление контроллера домена (написаны для Windows Server 2012): если роли держал вышедший контроллер, их нужно захватывать (seize): передать роль недоступному серверу нельзя.

Срок годности копий

Объекты в корзине AD хранятся ограниченное время, а копия контроллера пригодна не дольше меньшего из двух сроков: удалённых объектов и жизни tombstone (по умолчанию 180 дней). На странице про восстановление виртуального контроллера Microsoft советует копировать контроллеры регулярно и не реже чем раз в 90 дней; на практике делайте копию ежедневно, как в расписании выше.

Неавторитативное восстановление

Это режим по умолчанию: контроллер возвращается к состоянию на момент копии, а репликация подтягивает от партнёров всё, что изменилось позже.

1. Убедитесь, что знаете пароль DSRM. Забытый пароль задают заново средством ntdsutil (команда set dsrm password), пока контроллер работает в обычном режиме; для контроллеров на Windows Server 2019 и новее его может вести Windows LAPS.
2. Перезагрузите контроллер в режим DSRM. Для виртуального контроллера руководство описывает вход через менеджер загрузки (клавиша F5, затем F8 и пункт Directory Services Restore Mode), для физического в KB 840001 указана клавиша F8 при старте. Если виртуальная машина пошла грузиться в обычном режиме, выключите её и повторите: обычный запуск увеличивает USN даже без сети.
3. Войдите под учётной записью DSRM и запустите восстановление:

wbadmin get versions -backupTarget:E: -machine:DC1
wbadmin start systemstaterecovery -version:<ВЕРСИЯ> ^
  -backupTarget:E: -machine:DC1

4. Перезагрузите сервер в обычном режиме и проверьте dcdiag и repadmin /replsummary.

Параметр -authsysvol используют только при восстановлении леса и только на первом восстанавливаемом контроллере корневого домена: на остальных он приводит к конфликтам репликации SYSVOL. Состояние системы восстанавливают на том же сервере и в той же установке ОС, с которой оно снято; восстановление в свежую установку не поддерживается. Для другого оборудования нужны полная копия и полное восстановление (BMR) из среды восстановления Windows (WinRE): команда wbadmin start sysrecovery. Осторожно: её параметр -recreateDisks удаляет все данные на томах с ОС и, возможно, на томах с данными.

Авторитативное восстановление и весь лес

Авторитативное восстановление нужно, когда объекты удалены, корзина не была включена, а удаление уже разошлось по контроллерам: объекты из копии нужно пометить «главными», чтобы репликация вернула их, а не удалила снова. Это опасная операция, и пошаговой инструкции здесь нет. Её делают в DSRM средством ntdsutil после восстановления состояния системы, а поддерево откатывается целиком: пароли, членство в группах и другие изменения после копии вернутся к старым значениям. Нужно восстанавливать удалённые родительские контейнеры, а обратные ссылки (членство в группах) возвращать отдельно через файл LDIF (формат обмена данными каталога). Сначала сделайте свежую копию и отработайте всё на стенде по официальной статье с тремя методами.

Если вышли из строя все контроллеры, восстанавливают весь лес: изолируют записываемые контроллеры, восстанавливают по одному на домен из проверенной копии, захватывают роли FSMO, очищают метаданные, увеличивают пул RID (из него выдаются идентификаторы безопасности новым объектам) на 100 000, а при подозрении на вторжение сбрасывают пароли административных записей и учётной записи krbtgt (служебная запись Kerberos). Основа — руководство Microsoft по восстановлению леса, например страница Determine how to recover.

Состояние на ноябрь 2026 года: руководство по восстановлению леса написано для Windows Server 2022 и старше, страницы процедур помечены как применимые и к 2025. Проверьте актуальность.

Виртуальные контроллеры: контрольные точки и USN rollback

У каждого контроллера есть счётчик изменений USN (Update Sequence Number, порядковый номер обновления) и идентификатор экземпляра базы InvocationID. Партнёры по репликации запоминают, до какого USN они уже получили изменения. Если контроллер «откатить» без ведома Active Directory (например, вернуть контрольную точку ВМ), он начнёт повторно использовать старые USN, а партнёры решат, что эти изменения уже получены. Возникает USN rollback: изменения перестают реплицироваться, а repadmin ошибок не показывает. Признак — событие 2095 в журнале Directory Service, при его обнаружении служба Netlogon приостанавливается.

Начиная с Windows Server 2012 контроллер на гипервизоре, который передаёт гостю идентификатор VM-GenerationID, сам замечает откат: при каждом запуске AD DS сверяет сохранённое значение с текущим и при различии сбрасывает InvocationID, отбрасывает пул RID и неавторитативно синхронизирует SYSVOL. Hyper-V поддерживает этот механизм с Windows Server 2012; у другого гипервизора поддержку уточняйте у производителя.

Контрольные точки (снимки) ВМ годятся для лаборатории и для рядовых серверов и клиентов перед опасным шагом; для контроллеров домена откат снимком в боевой сети не применяется, вместо него — резервная копия состояния системы. Документация не рекомендует снимок как замену копии: защита VM-GenerationID копию не заменяет, а на гипервизоре без неё и при подмене или копировании виртуального диска защиты нет вовсе. Восстановление из копии файла виртуального диска без копии состояния системы Microsoft не поддерживает; страница про восстановление виртуального контроллера описывает его (запуск в режиме DSRM) лишь как крайнюю меру при отсутствии альтернатив. Копия ВМ на уровне хоста Hyper-V (Windows Server Backup умеет включать в копию виртуальные машины) не заменяет копию состояния системы самого контроллера.

Копии GPO и DHCP

Состояние системы содержит GPO, но откатывать каталог ради одной политики неудобно, поэтому у GPO и DHCP есть свои копии. Команды Backup-GPO -All -Path C:\Backup\GPO и Backup-DhcpServer -Path C:\Backup\DHCP разобраны в статьях Windows Server с нуля 06 и Windows Server с нуля 07; каталоги созданы в практике 1. Restore-GPO возвращает настройки существующей политики, а если политику удалили, он завершится ошибкой: создайте её заново из копии командой Import-GPO -BackupGpoName '<имя>' -TargetName '<имя>' -Path C:\Backup\GPO -CreateIfNeeded.

Хранение, ротация, мониторинг

• Вне сервера и офлайн. Копии только на E: теряются вместе с сервером: вторую держите на другом устройстве, а хотя бы одну — недоступной с рабочей сети (правило 3-2-1).
• Права и шифрование. У wbadmin нет параметров шифрования, поэтому защищайте место хранения: узкий круг членов Backup Operators и Administrators, права на папку и том, шифрование диска.
• Ротация. Версии, состоящие только из состояния системы, удаляет wbadmin delete systemstatebackup -keepVersions:7 (останутся семь последних); версии с образом BMR эта команда не удаляет, поэтому следите за свободным местом на E:.
• Мониторинг. Проверяйте не запуск задания, а появление свежей копии: Get-WBSummary (на серверах, где установлен компонент) показывает следующую, последнюю и последнюю успешную копии. Оповещения строят в Zabbix; проверки вошли и в чек-лист Windows Server с нуля 12.

Типичные ошибки и недоразумения

• Копия на том же диске, что и сервер. При отказе диска пропадут и данные, и копия.
• Копия томов без состояния системы. Active Directory из неё не восстановить: нужна копия с состоянием системы либо образ BMR.
• Сетевая папка без подпапок. Следующая копия перезаписывает прежнюю, а неудачная оставит вас совсем без копии.
• Диск вместо тома и непустая цель. Диск форматируется, данные пропадают без вопроса: проверяйте цель до первого запуска.
• Откат контроллера контрольной точкой вместо восстановления из копии. Microsoft этого не рекомендует: без VM-GenerationID, а также при подмене или копировании виртуального диска защиты нет, и возникает USN rollback.
• Восстановление не в режиме DSRM или без пароля DSRM. Пароль проверьте заранее, а не в день аварии.
• Старая копия и ни одной пробы восстановления. Копия старше срока жизни tombstone непригодна, а сюрпризы вскрываются в самый неудобный момент.

Проверьте себя

1. Какая копия подходит для восстановления Active Directory на контроллере? Содержащая состояние системы: отдельная копия состояния системы или образ BMR (-allCritical). Обычная копия томов не подойдёт.
2. Как узнать идентификатор версии для wbadmin start recovery? Выполнить wbadmin get versions и взять «Version identifier» формата ММ/ДД/ГГГГ-ЧЧ:ММ.
3. Что случится, если сделать две копии подряд в одну сетевую папку? Вторая перезапишет первую, и при неудаче не останется ни одной рабочей копии. Используйте подпапки.
4. Чем авторитативное восстановление отличается от неавторитативного? Неавторитативное возвращает контроллер к состоянию копии, и репликация догоняет остальное. Авторитативное ещё и помечает выбранные объекты главными, чтобы они вернулись на все контроллеры.
5. Почему контроллер нельзя откатывать контрольной точкой вместо восстановления из копии? Снимок не заменяет копию. Без VM-GenerationID или при подмене виртуального диска возможен USN rollback: изменения перестают реплицироваться без видимых ошибок.

Что дальше

• Windows Server с нуля 12 — LAPS для пароля DSRM и ежедневные проверки, в том числе копий.
• Windows Server с нуля 06 — копии политик перед массовыми изменениями.
• Windows Server с нуля 07 — отказоустойчивость и копия настроек DHCP.
• Резервное копирование: правило 3-2-1 и защита от шифровальщиков — вторая копия, офлайн-копии и тест восстановления.

Источники

• wbadmin start backup — параметры -backupTarget, -allCritical, -systemState, перезапись в сетевой папке
• wbadmin start recovery — восстановление файлов, -machine, формат версии
• wbadmin start systemstaterecovery — состояние системы, -authsysvol
• wbadmin start sysrecovery — восстановление из WinRE, -recreateDisks
• wbadmin enable backup — расписание, форматирование диска, перезапись
• wbadmin delete systemstatebackup — ротация версий состояния системы
• Add-WBBackupTarget — форматирование диска, запрос подтверждения, -Force
• Roles, Role Services, and Features included in Windows Server - Server Core — имя компонента Windows-Server-Backup
• AD Forest Recovery - Determine how to recover — выбор копии, пароль DSRM, срок годности
• AD Forest Recovery - Nonauthoritative restore — требования к копии, -authsysvol, BMR содержит состояние системы
• AD Forest Recovery - Virtualization — Hyper-V и VM-GenerationID
• How to restore deleted user accounts and their group memberships in Active Directory — авторитативное восстановление, предостережения, LDIF, DSRM
• Virtualized domain controller technology — USN, InvocationID, VM-GenerationID
• Detect and recover from USN rollback — событие 2095, способы отката
• Restore a virtualized domain controller — DSRM для виртуального контроллера, срок копий