Active Directory Yedekleme ve Geri Yükleme: System State ve DSRM

Birden fazla domain controller (DC) bir DC’nin kaybını tolere eder; ama yanlışlıkla silinen bir OU’yu, bozulan Group Policy nesnelerini ya da tek DC’li bir ortamın kaybını replikasyon kurtarmaz. Replikasyon hatayı da çoğaltır. Silinen OU birkaç dakika içinde tüm DC’lerden silinmiş olur. Aşağıda AD’nin rutin yedeklenmesini ve senaryoya göre doğru geri yükleme yöntemini anlatıyoruz: system state yedeği, AD Recycle Bin, DSRM ile non-authoritative ve authoritative restore, SYSVOL geri yükleme ve orman kurtarma ilkeleri.

AD kurtarma senaryoları

AD’de “geri yükleme” tek bir işlem değildir; yöntem kaybın kapsamına göre seçilir. Yanlış yöntem sorunu çözmez, replikasyonla bütün DC’lere yayar.

Sağlıklı DC’lerin bulunduğu bir sistem altyapısında bozulan DC’yi geri yüklemek yerine sunucuyu kaldırıp metadata temizliği yapmak ve yeni bir DC kurmak çoğunlukla daha hızlı ve temiz bir yoldur. Yeni DC ekleme ve FSMO rollerinin taşınması domain controller değişimi ve FSMO taşıma yazısında anlatılıyor.

System state yedeği ve tombstone ömrü

Bir DC’nin system state yedeği AD veritabanını (ntds.dit), SYSVOL’u, kayıt defterini, önyükleme dosyalarını ve DC’de kuruluysa sertifika hizmetleri veritabanını içerir. Windows Server Backup ile alınabilir:

# Windows Server Backup özelliğini kur
Install-WindowsFeature Windows-Server-Backup

# System state yedeğini ayrı bir birime al
wbadmin start systemstatebackup -backupTarget:E: -quiet

# Mevcut yedekleri listele
wbadmin get versions

Hedef olarak sistem birimi dışında, ayrılmış bir birim kullanın. Veeam gibi uygulama farkındalıklı imaj yedekleri de DC’yi VSS ile tutarlı biçimde yedekler ve AD nesnesi düzeyinde geri yükleme sunar; bu durumda ayrıca wbadmin yedeği şart değildir. Ama hangi yöntemle nasıl geri yükleneceğini önceden test edin. Sahada en sık gördüğümüz durum, DC’nin yedeklendiğinin varsayılması ama işte VSS hatasıyla haftalardır yalnız crash-consistent kopya alınmasıdır.

Tombstone ömrü AD yedeğinin kullanım süresini sınırlar. Silinen nesneler bu süre boyunca “tombstone” olarak tutulur, sonra tamamen kaldırılır. Windows Server 2003 SP1 ve sonrasıyla oluşturulan ormanlarda varsayılan değer 180 gündür; daha eski ormanlardan yükseltilmiş ortamlarda 60 gün olabilir. Tombstone ömründen eski bir yedeği geri yüklemek desteklenmez; silinmiş nesnelerin geri canlanmasına (lingering object) ve replikasyon sorunlarına yol açar. Kendi ormanınızdaki değeri kontrol edin:

$cfg = (Get-ADRootDSE).configurationNamingContext
Get-ADObject "CN=Directory Service,CN=Windows NT,CN=Services,$cfg" `
  -Properties tombstoneLifetime | Select-Object tombstoneLifetime

Değer boş dönüyorsa öznitelik tanımlı değildir ve 60 günlük eski varsayılan geçerlidir; yedek saklama planını buna göre kurun. Pratik kural: her domain’de en az bir, tercihen iki DC günlük yedeklenir ve en az birkaç haftalık yedek geçmişi tutulur.

Silinen nesne: AD Recycle Bin

AD Recycle Bin etkinse silinen nesne tüm öznitelikleri ve grup üyelikleriyle, DC yeniden başlatılmadan ve DSRM’ye girmeden geri gelir. Orman işlevsellik düzeyinin en az Windows Server 2008 R2 olmasını gerektirir ve etkinleştirildikten sonra kapatılamaz. Hâlâ kapalı tutulan ortamlar var. Kapalıysa ilk iş bunu açın.

# Recycle Bin'i etkinleştir (orman genelinde, geri alınamaz)
Enable-ADOptionalFeature -Identity "Recycle Bin Feature" `
  -Scope ForestOrConfigurationSet -Target "contoso.local"

# Silinen kullanıcıyı bul ve geri getir
Get-ADObject -Filter 'sAMAccountName -eq "ayse.yilmaz"' -IncludeDeletedObjects |
  Restore-ADObject

Silinen bir OU’nun içeriği geri getirilecekse önce OU’nun kendisi, ardından içindeki nesneler geri yüklenir; üst nesne yoksa alt nesneler geri gelmez. Recycle Bin, Group Policy nesnelerinin SYSVOL’daki dosyalarını geri getirmez; GPO’lar için Backup-GPO -All -Path ile ayrı ve düzenli yedek alın.

Non-authoritative restore

Non-authoritative restore DC’yi yedeğin alındığı ana döndürür; DC yeniden başladıktan sonra replikasyon ortaklarından yedekten bu yana olan değişiklikleri alır. Geri yüklenen veri “yetkili” değildir, yani diğer DC’lerdeki daha yeni bilginin üzerine yazmaz. Kullanım alanı: sağlıklı ortaklar varken veritabanı bozulan bir DC’yi onarmak.

System state geri yüklemesi Directory Services Restore Mode (DSRM) gerektirir. DSRM parolası DC kurulumunda belirlenir ve çoğu zaman unutulur. Felaket günü öğrenmek geç kalmaktır. Parola bilinmiyorsa DC çalışırken sıfırlayın:

# DSRM parolasını sıfırla (DC çalışırken)
ntdsutil "set dsrm password" "reset password on server null" q q

# Bir sonraki açılışta DSRM'ye gir
bcdedit /set safeboot dsrepair
shutdown /r /t 0

# DSRM'de: system state'i geri yükle
wbadmin get versions
wbadmin start systemstaterecovery -version:11/09/2026-21:00 -quiet

# İşlem bitince normal açılışa dön
bcdedit /deletevalue safeboot
shutdown /r /t 0

DSRM’de oturum yerel yönetici olarak, .\Administrator hesabı ve DSRM parolasıyla açılır. Yeniden başlatmadan sonra repadmin /showrepl ve dcdiag ile replikasyonun tamamlandığını doğrulayın. bcdedit /deletevalue safeboot adımını unutmak, DC’nin her açılışta yeniden DSRM’ye düşmesine yol açar; konsolda ilk bakılacak yer burasıdır.

Authoritative restore ve ntdsutil

Authoritative restore, Recycle Bin yoksa veya kullanılamıyorsa silinen nesneleri geri getirmek için kullanılır. Önce non-authoritative restore yapılır; ardından DC yeniden başlatılmadan, hâlâ DSRM’deyken geri getirilecek nesneler “yetkili” olarak işaretlenir. ntdsutil bu nesnelerin sürüm numaralarını yükseltir; böylece replikasyonda diğer DC’lerdeki silinmiş (tombstone) hal yerine geri yüklenen hal kazanır.

# DSRM'de, system state geri yüklemesinden sonra ve yeniden başlatmadan önce
ntdsutil
activate instance ntds
authoritative restore
restore subtree "OU=Satis,DC=contoso,DC=local"
quit
quit

Tek bir nesne için restore object "CN=Ayse Yilmaz,OU=Satis,DC=contoso,DC=local" kullanılır. Komut bulunduğu dizine bir metin dosyası ve grup üyelikleri için bir .ldf dosyası oluşturur. Geri yüklenen kullanıcıların başka domain’lerdeki veya alt ağaç dışındaki gruplara üyelikleri (back-link), DC normal açılıp replikasyon tamamlandıktan sonra bu dosya içe aktarılarak geri gelir:

ldifde -i -k -f ar_20261109-210512_links_contoso.local.ldf

Asıl tuzak kapsamdadır: alt ağacın tamamı yetkili işaretlenirse, yedekten sonra o alt ağaçta yapılan meşru değişiklikler (parola sıfırlamaları, yeni üyelikler) yedekteki eski halle ezilir. Kapsamı olabildiğince dar tutun. Bir OU yerine bir nesne yeter mi, önce onu sorun.

SYSVOL geri yükleme

SYSVOL, DFS Replication (DFSR) ile çoğaltılır. Normal bir system state geri yüklemesinde SYSVOL non-authoritative olarak geri gelir ve diğer DC’lerden güncellenir. Tüm DC’lerde SYSVOL bozulmuşsa ya da GPO dosyaları silinmişse SYSVOL’un tek bir DC’den yetkili olarak yeniden başlatılması gerekir. wbadmin ile geri yüklemede -authsysvol parametresi bu amaçla kullanılır. Yedekten bağımsız olarak, DFSR SYSVOL’u yetkili olarak yeniden başlatma adımları Microsoft’un belgelediği şekilde şöyledir:

1. Yetkili kaynak seçilen DC’de (tercihen PDC emülatörü) CN=SYSVOL Subscription,CN=Domain System Volume,CN=DFSR-LocalSettings,CN=<DC adı>,OU=Domain Controllers,DC=… nesnesinde msDFSR-Enabled=FALSE ve msDFSR-options=1 ayarlanır.
2. Diğer tüm DC’lerde aynı nesnede yalnızca msDFSR-Enabled=FALSE ayarlanır.
3. AD replikasyonu zorlanır (repadmin /syncall /AdP) ve tüm DC’lerde DFSR hizmeti durdurulur.
4. Yetkili DC’de DFSR başlatılır; olay günlüğünde 4114 (SYSVOL replikasyonu devre dışı) görülür. Ardından msDFSR-Enabled=TRUE yapılır, AD replikasyonu zorlanır ve dfsrdiag pollad çalıştırılır; 4602 olayı yetkili başlatmanın tamamlandığını gösterir.
5. Diğer DC’lerde DFSR başlatılır, 4114 görüldükten sonra msDFSR-Enabled=TRUE yapılır ve dfsrdiag pollad çalıştırılır; 4614 ve 4604 olayları başlangıç senkronizasyonunun bittiğini gösterir.

Bu işlemde yetkili DC’deki SYSVOL içeriği doğru kabul edilir ve diğerlerine dağıtılır. Başlamadan önce o DC’deki Policies klasörünün sağlam olduğunu kontrol edin. Bozuk kaynak, bozukluğu her yere taşır.

Orman kurtarma ilkeleri

Tüm DC’ler bozulduysa ya da orman güvenilirliğini yitirdiyse tek tek DC onarımı yetmez. Microsoft’un orman kurtarma rehberindeki temel ilkeler: her domain için tek bir DC güvenilir yedekten izole ağda geri yüklenir; SYSVOL bu DC’de yetkili olarak başlatılır; FSMO rolleri bu DC’lere alınır (seize); diğer tüm DC’lerin metadata’sı temizlenir; RID havuzu yükseltilir, krbtgt ve ayrıcalıklı hesap parolaları sıfırlanır; ardından ek DC’ler yeniden kurulur. Ayrıntılı yol haritası Active Directory Forest Recovery Guide içinde.

Fidye yazılımı sonrası temiz kurtarma noktasının seçilmesi ve izole ortamda orman kurtarma, güvenlik tarafından fidye saldırısı sonrası AD forest kurtarma rehberinde anlatılıyor.

Kontrol listesi

• Her domain’de en az bir DC günlük yedekleniyor; yedek yaşı tombstone ömrünün çok altında.
• AD Recycle Bin etkin.
• GPO’lar Backup-GPO ile ayrıca yedekleniyor.
• DSRM parolası biliniyor ve güvenli bir kasada.
• Bir DC’nin izole ağda geri yüklenmesi yılda en az bir kez test ediliyor.
• Orman kurtarma için gereken adımlar DR runbook’unda yazılı.

AD’nin genel sağlığını düzenli izlemek için Active Directory sağlık kontrolü yazısına bakın. Dizin hizmeti yönetimi ve yedekleme kurgusu için sunucu ve bulut yönetimi ile yedekleme ve felaket kurtarma hizmet sayfalarımızı inceleyebilirsiniz.

Sık sorulan sorular

AD Recycle Bin etkinleştirildikten sonra kapatılabilir mi?

Hayır. AD Recycle Bin orman genelinde etkinleştirilir ve geri alınamaz. Orman işlevsellik düzeyinin en az Windows Server 2008 R2 olması gerekir.

Tombstone ömründen eski bir AD yedeği geri yüklenebilir mi?

Desteklenmez. Bu süreden eski bir yedek, diğer DC’lerde kalıcı olarak silinmiş nesneleri geri getirir; lingering object ve replikasyon sorunları başlar. Yedek yaşı her zaman tombstone ömrünün çok altında olmalı.

Non-authoritative ve authoritative restore arasındaki fark nedir?

Non-authoritative restore DC’yi yedeğin alındığı ana döndürür ve diğer DC’lerden güncellemeleri alır. Authoritative restore seçilen nesneleri yetkili işaretler; bu nesneler diğer DC’lerdeki silinmiş veya değişmiş halin üzerine yazılır.

DSRM parolası unutulduysa ne yapılır?

DC normal modda çalışırken ntdsutil aracındaki set dsrm password komutuyla parola sıfırlanır. Bunu felaketten önce yapın ve yeni parolayı güvenli bir kasada saklayın.