Windows Active Directory 架构更新的安全性如何？

Question

我试图更好地了解 Active Directory 如何处理架构更新，特别是在考虑到 AD 的关键程度以及需要更新的情况范围内，该过程实际有多安全。例如，Exchange 2007、OCS、SCOM 都需要架构更改，这不仅仅是在您考虑从（例如）Windows 2003 到 Windows 2008 基础结构进行重大转变时发生的事情。

我正在寻找的是有关架构更改的最佳回退计划的建议，以防万一它确实出错了。例如，在更新期间让一个 DC 脱机并在架构更新失败时使用它来回滚整个环境是否可以接受？重新激活架构更新期间脱机的 DC 是否有任何问题？

Answer 1

模式更新是一种单向功能。您只能向 AD 添加新架构，永远不能删除任何内容。因此，当软件需要架构扩展或更新时，您应该始终仔细评估替代方案；确保这是您愿意承诺使用的东西。

首先，请确保您有一个良好的 AD 数据库备份副本（通常为 %SystemRoot%\ntds\NTDS.DIT​​）！将其保存在安全的地方。

如果您的森林中只有一个 DC，那就很简单了。只需按照说明运行 adprep（或让软件更新 AD 本身）。

如果您有多个 DC，请确保绝对没有dcdiag和报告的错误replmon -syncall。确保您有每个 AD 数据库的备份（来自每个 DC）。确定具有 Schema Master 角色的 DC。尽可能在该服务器上/对该服务器进行所有更新。

在大多数情况下，AD 将保护自己免受失败的架构更新。如果 LDIF 文件未通过语法（假设您在更新过程中出现 BSOD），则不会加载它。每个“更新”都有自己的一组 LDIF 文件。

Answer 2

我从未见过架构更新（只要正确完成）出错。MS 似乎真的使出浑身解数使这个过程成为一个坚实可靠的过程，它表明了这一点。我能看到任何不好的事情发生的唯一真实情况是，如果您在中途断电（即使这样我也不确定），或者您的 AD 一开始就被搞砸了（在这种情况下，您会遇到更大的问题）。

架构升级真正做的就是使用新的对象类和属性（应用程序或 AD 的更新版本可以使用）扩展 AD，因此灾难的范围非常有限。 这篇技术网文章给出了一个不错的概述，并涵盖了一些潜在的坏事发生案例。

我的标准方法是事先确保一切正常运行（通过 dcdiag、replmon 等），并确保我有一个已知良好的 AD 备份，以防最坏的情况发生。我会尽可能长时间地保留这个备份，因为 AD 可能非常强大，以至于之后很长一段时间内问题都不会出现。所以标准备份和恢复将是我的回滚。但就像我说的，我从来没有见过这种情况。