必须启用 VM-Generation ID，因Windows Server 2012起依赖该机制检测快照回滚并触发安全防护；系统状态备份是唯一合规方式，含NTDS.dit、SYSVOL等核心组件，整机镜像不保证AD一致性且不可跨平台还原。
虚拟化环境中必须启用 VM-Generation ID
ad 域控制器在虚拟机中运行时，若使用快照回滚，极易引发 usn 回滚问题——即数据库逻辑时钟倒退，导致复制混乱、对象丢失或属性覆盖。windows server 2012 及之后版本依赖 vm-generation id 机制识别快照回滚并自动触发安全防护（如暂停复制、进入 dsrm）。务必确认虚拟平台（hyper-v、vmware vsphere 等）已启用该特性，且虚拟机配置中未禁用“生成 id”相关选项。未启用时，严禁对域控做快照或克隆操作。
备份内容只选系统状态，不备份整机镜像
AD 数据核心在 系统状态（System State） 中，包含 NTDS.dit 数据库、SYSVOL 共享、注册表、启动文件和证书服务等。即使使用虚拟化备份工具，也应明确勾选“系统状态”，而非整机磁盘镜像。原因有二：一是整机备份无法保证 AD 一致性（如内存中未刷盘的事务）；二是不同硬件/虚拟平台间无法跨机还原——一台 DC 的系统状态备份不能恢复到另一台物理或虚拟 DC 上。
- PowerShell 命令示例：
wbadmin start systemstatebackup -backuptarget:C:\ADBackup - 备份目标路径建议为独立卷（如 D:\ 或网络 SMB 共享），绝不可存于系统盘 C:\，避免单点故障
- 每次备份应带时间戳命名（如
AD-DC01-20260615.bkf），便于快速定位可用副本
备份频率需匹配 Tombstone Lifetime
AD 默认 Tombstone 生存期为 90 天（可查 msDS-TombstoneLifetime 属性）。超过此期限的备份无法还原已删除对象（会被视为“永久删除”）。因此：
- 生产环境建议 每周执行一次系统状态备份，高变更场景（如频繁加减用户、OU 调整）可提升至每 3–4 天一次
- 所有备份保留周期不应超过 Tombstone 值的 80%（即最多存 72 天），过期备份应及时清理
- 配合 PowerShell 批处理自动归档与清理，例如用
forfiles /d -72 /c "cmd /c del @path"删除超期文件
存储位置优先选离线或隔离介质
备份文件本身是攻击者重点目标（如勒索软件加密后破坏还原能力）。推荐策略：
- 主备份存于高速本地 SSD 或专用备份服务器（通过 SMB 加密传输）
- 同步一份副本至 离线硬盘（每周人工轮换，断电封存）或 空气间隙（Air-Gapped）存储
- 禁止将备份与生产 DC 部署在同一虚拟集群或共享存储 LUN 上——避免单次故障同时摧毁生产与备份
- 若用云存储，确保启用客户端加密（如 AES-256），密钥由管理员离线保管
