Active Directory維運術　全方位健檢/災難復原

在現代企業的IT基礎架構中，Active Directory（AD）不僅僅是一個身分驗證資料庫，還是整個企業營運的「心臟」。從電子郵件、檔案存取權限到雲端同步與資安防護，幾乎所有服務都依賴於AD的健康運作。但有趣的是，AD的維護往往被視為一門「隱形」的藝術，因為當它正常運作時，幾乎沒人會注意到它；一旦發生故障，輕則導致用戶端登入遲緩，重則造成全公司業務停擺。

有一家貿易公司規模雖小，但IT架構非常現代化。IT人員小張過去早已將公司所有的核心服務都與AD整合，因此大幅簡化人員帳戶、密碼以及權限的管理，這些核心服務包括：

‧Mail Server（Exchange/Postfix）：員工使用AD帳號收發業務郵件。

‧企業NAS：存放所有客戶報價單與合約，依AD群組劃分權限。

‧HR系統：員工每日透過AD帳號登入進行打卡與請假。

這套系統架構平日運作順暢，直到某個週三下午，AD主機因為一次無預警的電力異常導致系統檔案毀損。不久之後，原本正在寫開發信的業務部發現Mail Server彈出「身分驗證失敗」，而設計部隨即發現NAS斷線，所有正在編輯的設計稿無法儲存，行政部則發現HR系統登入頁面轉圈圈後顯示500 Error。

IT人員小張得知後，趕緊跑去主機房檢查，才發現主要的網域控制站（DC）主機，其Windows Server已經無法正常啟動。此時他想到不是還有第二台次要的網域控制站主機嗎？奇怪為何沒有發生作用？

仔細一檢查才發現，那台主機的網卡很早以前就已經故障，因此AD的資料已經相差甚遠，但由於他沒有定期巡檢，因此完全不知道。

更慘的是，他平日僅顧著備份郵件與HR系統的資料庫，而忽視對於DC主機的備份，因此接下來僅能夠嘗試透過修復作業系統來恢復運作。

上述只是眾多案例中，因沒有做好AD維運工作，其中的一個IT災難現場而已，類似的災害情境其實都能夠預防及迅速復原。接下來，就從預防性巡檢、誤刪補救，到系統級災難還原進行完整的實戰演練。

先幫Active  Directory健檢

一個健康的AD環境不應該是靠運氣維持，IT人員必須具備主動偵測風險的能力，而不是等待使用者報修。接著，說明如何活用六大核心工具，為自身的Active Directory進行全方位的健康監控。

如圖1所示，首先執行「Get-ADForest lab02.com」命令參數來獲取目前或指定AD樹系（Forest）的詳細資訊，這包括樹系功能層級（ForestMode）、列出所有網域（Domains）、架構主機（Schema Master）、網域命名主機（Domain Naming Master）、通用類別目錄（Global Catalog）角色伺服器的清單。

除了確認AD樹系與網域的基礎資訊外，在登入網域控制站主機後，可透過以下命令來確認各項與AD相關的服務是否正在執行中，這些服務包括AD管理中心∕PowerShell介面所需的服務、DNS伺服器服務、身分驗證服務、使用者登入驗證服務、AD核心服務：

$Services = "NTDS", "ADWS", "DNS", "Netlogon", "KDC" Get-Service -Name $Services | Select-Object DisplayName, Status

接下來介紹的是Dcdiag（Domain Controller Diagnostics）這一款經典工具，它可算是AD網域控制站（DC）的「聽診器」。它能執行超過30種測試，幫助IT人員識別DNS設定錯誤、服務失效或五大角色（FSMO）的異常狀態。

如圖2所示，先說說Dcdiag /v /e /c命令範例中各項參數的功能用途：

‧/v（Verbose/詳細模式）：除了顯示錯誤與警告外，還會輸出每個測試步驟的成功資訊。當需要深入排查某個特定環節的細節時，這個參數至關重要。

‧/e（Enterprise/企業級測試）：將測試範圍擴大到整個樹系（Forest）中的所有網域控制站（DC），而不僅限於當前登入或本地的DC主機。

‧/c（Comprehensive/綜合測試）：執行所有內建的測試項目，包括預設會被跳過的DNS測試，這被認為是最完整的診斷掃描方式。

由於這個指令會對整個AD樹系中的相關伺服器進行掃描並產生大量診斷結果，因此若想要方便閱讀，建議將命令參數修改成如下範例，便能夠將所有的診斷結果輸出至AD_Health_Report.txt文字檔：

dcdiag /v /e /c > C:\AD_Health_ Report.txt

執行「nltest /dsgetdc:lab02.com」命令來測試尋找網域控制站，也就是用來確認對於目前所在的電腦，現階段所定位連線的網域控制站是哪一台網域控制站。執行後，系統會回傳目前回應請求的DC資訊，包括DC主機名稱、IP位址、DC主機所屬的站台名稱、旗標，其中旗標表示該DC主機具備的功能，例如是否為GC通用類別目錄、是否支援PDC角色、是否為可寫入（Writable）等等。

透過上述的測試結果，可確認用戶端是否連線到正確（最近）的站台，以避免跨WAN網路連線導致登入緩慢。如果測試結果回傳「ERROR_NO_SUCH_DOMAIN」訊息，通常代表DNS設定錯誤或該網域無法存取。

對於IT管理員在日常維護的AD複寫問題排查，可以善用的最佳工具是Repadmin。首先，執行「Repadmin /replsum」命令參數，快速顯示各網域控制站的複寫狀態與錯誤總結。如圖3所示，在此會列出每台DC主機作為「來源」與「目的地」時的統計數據。

其中「最大差異值」的數據顯示該DC主機上一次成功複寫距今多久。如果數值過大（例如超過數小時或數天），通常代表該路徑已中斷。「失敗」欄位則是直接標示複寫失敗的次數。如果此欄位非0，表示該DC主機存在連線或驗證問題。

若要詳細檢查每台網域控制站的複寫成功與否，則如圖4所示執行「repadmin /showrepl *」命令參數。相較於前面的/replsum參數只提供一張總表，/showrepl *參數則是給一個完整日誌，適合在發現某台DC主機有問題後，深入查看它是在哪個時間點、在哪個分割區、因為什麼原因失敗的。

對於追求維運效率的IT部門來說，如圖5所示的免費工具ADReplStatus（AD Replication Status Tool）的圖形化報表，更能夠讓IT人員一眼就看出跨站點的複寫健康狀態，縮短判斷決策的時間，此工具可以到以下網址下載與使用。

‧ADReplStatus圖形工具下載：https://github.com/ryanries/ADReplStatus/releases

ADReplStatus工具的使用，除了讓IT人員不再需要從文字檔中翻找錯誤代碼外，還能夠以顏色標示所有網域控制站（DC）的複寫狀態，例如紅色代表失敗、綠色代表成功。此外，它也支援將診斷結果匯出為CSV或Excel格式，方便IT管理員製作週報、月報或進行離線分析。

啟用AD資源回收筒功能

在IT維運的日常中，「人為疏失」永遠是最大的變數。誤刪一個使用者帳號可能只是小事，但如果誤刪的是一個包含數百人的安全性群組或關鍵的組織單位（OU），那將是一場災難。

記得在早期AD物件的還原情境中，可能需要進入「目錄服務還原模式（DSRM）」，這意味著停機與服務中斷。但Microsoft自Windows Server 2008 R2引入，並在後續版本不斷優化的AD資源回收筒（Active Directory Recycle Bin），徹底改變了這個遊戲規則。

‧零停機還原：無須重啟DC主機，即可在線上完成AD物件還原。

‧完整屬性保留：還原後的物件將保留其原始的SID、群組成員資格與權限設定，確保使用者「無感」銜接。

接下來介紹如何善用此項功能，將原本需要數小時的搶修工作縮短至數秒鐘。首先從「伺服器管理員」介面中開啟「Active Directory管理中心」，接著點選至網域本機節點，如圖6所示，再點選「工作」窗格內的「啟用資源回收筒」連結。

隨後將會出現一則警示訊息，表示該功能一旦啟用後將無法停用，按下〔確定〕按鈕。緊接著，系統會再出現已啟用資源回收筒的訊息，不過若樹系中有多個網域和網域控制站，則必須在全面完成複寫後才能開始使用。而對於現行已開啟的「Active Directory管理中心」，只要關閉後再開啟，就能夠開始使用此項功能。

除了透過圖形介面的「Active Directory管理中心」來啟用AD的資源回收筒外，也可以經由PowerShell命令視窗執行以下的命令參數，完成指定網域與DC主機的資源回收筒功能啟用：

Enable-ADOptionalFeature -Identity 'Recycle Bin Feature' -Scope ForestOrConfigurationSet -Target 'lab02.com' -Server DC01

當樹系中有多個網域與DC主機時，對於AD資源回收筒於樹系的啟用後，可能必須稍等一段時間，該設定才會複寫至所有的網域與DC主機中。此時，若想檢查某一台DC主機（例如DC02）是否已經成功複寫AD資源回收筒的啟用設定，可以參考以下的命令參數：

Get-ADOptionalFeature -Identity "Recycle Bin Feature" -Server DC02 | Select-Object Name, EnabledScopes

在AD系統的預設狀態下，任何已刪除物件的保存期限皆為180天（包括帳號、群組、連絡人等等），換句話說，只要在保存期限內，IT管理員都可以還原選定的物件。

若希望延長或縮減保存期限，透過修改下列命令範例即可。此PowerShell範例是針對lab02.com的網域，設定365天之已刪除物件的保存期限：

Set-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC =lab02,DC=com" -Partition "CN=Conf iguration,DC=lab02,DC=com" -Replace :@{"TombstoneLifeTime"=365}

若想要查詢選定網域對於已刪除物件的保留天數設定，可參考如下的命令參數：

Get-ADObject -Identity"CN= Directory Service,CN=Windows NT,CN=Services,CN=Configuration, DC=lab02,DC=com" -Partition "CN=Configuration,DC=lab02,DC=com" -Properties TombstoneLifeTime

復原已刪除的AD物件

在完成AD資源回收筒功能的啟用後，接下來嘗試刪除一個現行的AD物件，然後將它從AD資源回收筒進行復原。

如圖7所示，可以直接在「Active Directory管理中心」介面中選定帳號，然後按下滑鼠右鍵並點選快速選單中的【刪除】即可。或者，使用PowerShell命令執行刪除，例如執行「Remove-ADUser jasonwu」命令刪除jasonwu帳號。

緊接著執行以下的命令參數，對於上一個步驟中所刪除的帳號進行確認。如圖8所示，在此範例中可以發現該帳號的「Deleted」欄位值已是「True」：

Get-Adobject -Filter {Displayname -eq "吳傑森"} -Includedeletedobjects

再回到「Active Directory管理中心」介面，點選至「lab02(本機)」→「Deleted Objects」節點，如圖9所示，便可以查看到前面步驟中所刪除的帳號。在選定該帳號後，從「工作」窗格中點選「還原」或「還原到」，就可以將該帳號完成還原操作。

對於AD物件的還原，同樣也能夠使用PowerShell來完成。在此只要執行以下命令參數，即可將指定的帳號從AD資源回收筒完成還原，並且查看復原後的帳號所在位置：

Get-Adobject -Filter {Displayname -eq "吳傑森"} -Includedeletedobjects | Restore-ADObject Get-Adobject -Filter {Displayname  -eq "吳傑森"}

安裝Windows Server Backup

如果說AD的巡檢是預防，資源回收筒是急救，那麼Windows Server Backup（WSB）就是最後的保險。當硬體毀損、勒索軟體攻擊或遭遇大規模系統崩潰時，需要的是「破釜沈舟」後的重建能力。

在開始使用Windows Server Backup前，最好準備一個本機專用的備份磁碟，以便能夠在系統回損時，快速從本機備份磁碟進行還原。如圖10所示，在「磁碟管理」介面中，可以發現這裡所準備的「磁碟1」，並不需要進行分割區配置以及執行格式化，便可以做為專用的備份磁碟。

準備好備份的專用磁碟後，接下來安裝Windows Server Backup功能。開啟「伺服器管理員」介面，再點選「管理」選單中的【新增角色及功能】。來到「功能」頁面後，勾選「Windows Server Backup」，並連續按下〔下一步〕按鈕，完成安裝即可。

對於「Windows Server Backup」功能的安裝，也可以選擇使用PowerShell來完成。只要執行以下命令參數，即可完成Windows Server Backup功能於本機的安裝，並進一步確認是否已經成功安裝好該項功能：

Install-WindowsFeature -Name Windows-Server-Backup Get-WindowsFeature Windows-Server- Backup

一旦安裝好「Windows Server Backup」功能，便可以從「伺服器管理員」的「工具」選單中來開啟它。如圖11所示，在此可以發現此工具僅能夠管理本機備份，並且在「動作」窗格中執行備份排程設定、一次性備份、復原、效能設定等基礎功能。看似功能相當陽春，但卻足以保護整個DC主機的運行。

排程備份AD主機

無論今日打算在哪一種伺服器角色的主機使用Windows Server Backup功能，通常都會先完成備份排程的設定，以確保該主機能夠在指定的時間自動備份。

先點選「動作」窗格中的「備份排程」，接著在如圖12所示的「選取備份設定」頁面中，自行決定選用「完整伺服器」或「自訂」的備份方式。前者可以確保整台主機即便硬體毀損，也能夠還原至新主機來恢復運行，不過所需的備份時間也會較長許多。

至於如果只是想要備份AD資料庫，以便可以在AD有異常或人為疏失所造成的錯誤時，能夠快速進行還原作業，在此先選取「自訂」，並按下〔下一步〕按鈕。

在「選取要備份的項目」頁面中，若只是要備份AD資料庫，僅新增「系統狀態」項目即可。另外，也可以按下〔進階設定〕按鈕，將「VSS設定」頁面的設定改為「VSS完整備份」，以表示目前並沒有其他的備份軟體在同時進行備份。

而在「指定備份時間」頁面中，可以選擇「一天一次」的備份時間設定，或是選擇「一天多次」的備份設定。如果在前面的步驟中是選擇備份完整伺服器，可以選擇「一天一次」的備份。若是僅備份「系統狀態」，則選擇「一天多次」的備份，例如設定半夜1:00與中午12:00各執行一次備份。設定完畢，按下〔下一步〕按鈕。

在「指定目的地類型」頁面中，有三種備份存放位置類型可以選擇，其中「備份至備份專用的硬碟」是預設建議的選項，這種方式不僅可以確保備份資料的安全，也不會衝擊現行伺服器磁碟運行的效能，而且也是最有效率的備份方式。

如果不想將備份資料存放在本機磁碟，雖然可以改選「備份到共用網路資料夾」選項，並在後續步驟中選擇網路共用資料夾的路徑，但這種備份方式永遠只會存放最新一次的備份資料。

按下〔下一步〕按鈕，來到「選取目的地磁碟」頁面，如圖13所示，可以看到前面介紹中準備好的一顆專用磁碟，勾選它並按下〔下一步〕按鈕。請注意！對於所選取的備份專用硬碟，磁碟內所有現行的分割區與資料都會被刪除，並且該磁碟也不會有磁碟代號以及不會顯示在檔案管理介面中。

在「確認」頁面中再次確認備份排程、備份目的地以及備份項目的設定，確認無誤後按下〔完成〕按鈕。

執行一次性備份任務

對於已經完成的備份排程設定，不一定非得等到排程的時間到來時才讓它執行，而是可以隨時點選「動作」窗格中的「一次性備份」功能，立即執行備份任務。執行之後將會開啟「備份選項」頁面，可以選擇採用「排程備份選項」設定，還是使用「不同選項」設定進行一次性備份。在此選擇前者，並按下〔下一步〕按鈕。

在「確認」頁面中便可以查看到在排程備份選項中的各項設定，確認無誤後按下〔備份〕按鈕即可。最後，在「備份進度」頁面中可以即時查看到所有備份項目的備份狀態與各項資料的大小。至於備份所需花費的時間，取決於備份磁碟的I/O效能以及備份項目的資料大小。

關於現有備份任務的執行，除了可以經由Windows Server Backup視窗介面操作來完成外，也可透過執行Wbadmin命令參數進行網域控制站的備份。若目標僅是備份AD資料庫，只須執行以下命令參數即可，也就是備份所在AD主機的系統狀態至指定的磁碟代號，其中磁碟代號也可以改成透過磁碟區的GUID來指定：

Wbadmin start systemstatebackup -Backuptarget:'\\?\Volume{b3e5f3fa- 78f5-4573-8613-ae87ed596a51}\'

可是若想確保AD主機損毀時還能夠完整進行還原，則必須執行一個包含所有關鍵磁碟區與檔案的單次備份，這部分可以參考以下的命令參數。其中改用了-allCritical參數，表示將自動包含所有可讓作業系統正常啟動及運作的磁碟區與檔案：

Wbadmin Start Backup -allCritical -Backuptarget:'\\?\Volume{b3e5f3fa -78f5-4573-8613-ae87ed596a51}\' -Quiet

上述所謂的「關鍵磁碟區與檔案」，主要包含以下內容：

‧系統保留分割區（System Reserved Partition）：包含開機設定資料（BCD）。

‧EFI系統分割區（ESP）：若為UEFI模式的系統。

‧作業系統磁碟區（通常為C:）：包含Windows目錄、程式檔案及使用者資料。

‧其他必要組件：對於AD主機而言，這通常也會自動涵蓋Active Directory資料庫（NTDS.dit）、SYSVOL資料夾以及系統登錄檔（Registry）等「系統狀態（System State）」組件。

無論選擇Windows Server Backup何種備份操作方式，都可以在如圖14所示的介面中查看到本機備份的相關訊息，包括上次備份、下次備份以及所有備份的資訊。

舉例來說，如果是點選「All Backups」區域中的「檢視詳細資料」連結，即可查看到目前所有已備份的清單，以及它們各自所完成的備份時間、磁碟分割區、備份的檔案類型等資訊。

還原Active Directory備份

究竟在甚麼樣的情境之下，需要還原AD的備份呢？答案不外乎是AD資料庫損毀、人為誤刪大量的AD物件、DC主機的AD相關服務無法啟動、網域控制站之間始終複寫無法成功，或是Exchange Server、第三方應用系統無法連接AD網域等等，無論如何只要確認是AD網域服務的問題，就可以調出之前所有的備份來嘗試進行復原。

首先在DC主機能夠正常開機與登入的情況下，可以執行「shutdown -o -r」命令，讓作業系統在重新開機後，可透過操作來停留在「進階開機選項」選單，然後再自行選擇「目錄服務修復模式」進行啟動，或選擇執行「bcdedit /set safeboot dsrepair」命令，讓系統自動重新開機並直接進入目錄服務修復模式。

當選擇執行「shutdown -o -r」命令來重新開機後，首先會進入到「選擇選項」頁面，點選「疑難排解」來開啟如圖15所示的「進階選項」，再點選「啟動設定」選項。

緊接著，在「啟動設定」頁面中就能查看到後續可以使用的七個Windows選項，不過實際上這七個選項僅是基本，因為在DC主機終將會有更多選項可以使用。按下〔重新啟動〕按鈕，重新開機後會來到「進階開機選項」頁面，如圖16所示，選取「目錄服務修復模式」並按下〔Enter〕鍵。

成功完成啟動後，需要使用過去在建立AD樹系時所設定的目錄服務修復密碼進行登入。完成登入後，如圖17所示，可以發現Windows Server桌面的四個角落皆有「安全模式」的字眼。從「伺服器管理員」介面中，點選「工具」選單中的「Windows Server Backup」。

開啟「Windows Server Backup」後，將可以在「本機備份」頁面中查看到最近的備份資訊，點選「動作」窗格內的「復原」連結。接著，在「開始使用」頁面中選取備份儲存的位置，有「這台伺服器」和「儲存在其他位置的備份」兩種選擇。若依照本文範例的情境，必須選擇「這台伺服器」設定，但如果是將備份存放在網路共用路徑，就必須改選「儲存在其他位置的備份」，設定好了之後按下〔下一步〕按鈕。

如圖18所示，在「選取備份日期」頁面中，先選取要還原的備份日期，再挑選當日的時間。選取之後，將可以得知該備份的狀態以及可復原的項目，按下〔下一步〕按鈕繼續。

在「選取復原類型」頁面中，能夠復原的資料類型包括檔案和資料夾、Hyper-V、磁碟區、應用程式以及系統狀態。其中「Hyper-V」類型之所以無法選取，是因為本機並沒有安裝Hyper-V伺服器角色。

由於本次的情境只需要還原AD的備份，因此只選擇「系統狀態」。若需要還原的資料涵蓋整個磁碟區或某一些檔案資料夾，則考慮選擇其他復原類型。

在「選取系統狀態復原的位置」頁面中，可以選擇將系統狀態直接復原至「原始位置」或「替代位置」。其中在「原始位置」選項中，還有一個「執行Active Directory檔案的權威復原」選項，該設定能夠確保被還原的資料，能夠經由複寫來覆蓋掉網域中其他DC主機上的現有資料。簡單來說，它的運作邏輯如下：

‧提升序號：系統會人為地增加被還原物件的「更新序列號」（USN）。

‧強制同步：當這台DC完成還原並重啟後，其他DC會發現這台機器上的物件序號更新，進而將這些資料同步回去。

‧防止被覆蓋：如果不勾選此項即「非權威復原」，還原後的舊資料會因為序號較低，立刻被其他DC主機的現有資料重新覆蓋，導致還原無效。

因此，這個選項設定通常用於大量誤刪的情境，例如不小心刪除一個包含千人的組織單位（OU），透過權威復原便可以把那個消失的OU從備份中救回來並複寫至全網域的DC主機。

在「確認」頁面中，再次確認準備復原的項目。至於是否要勾選「自動將伺服器重新開機以完成復原程序」設定，取決於是否需要在還原完成後，進一步透過ntdsutil對於特定的資料標記為「權威性」，以強制覆蓋網域中其他DC主機的資料。設定完畢，按下〔復原〕按鈕。

緊接著會出現相關的警示訊息，提醒操作者一旦開始進行系統狀態復原，就無法暫停或取消，並且需要重新啟動伺服器才能夠真正完成復原任務。

圖19所示便是在成功完成系統狀態還原並重新開機與登入後所出現的命令列提示訊息。接下來，便可以開始檢查復原後的AD運行狀態是否正常。

AD還原—使用Wbadmin命令工具

在DC主機進入到「目錄服務修復模式」狀態下，對於系統狀態的還原同樣也可以經由命令工具來完成，而這個命令工具就是Wbadmin。不過，在開始使用該命令工具進行還原之前，如圖20所示，必須先執行mountvol命令，取得存放備份資料的磁碟GUID，這是因為先前準備的專用磁碟並沒有配置磁碟代號。

成功取得存放備份資料的磁碟GUID後，接著執行以下命令參數，取得該磁碟中Windows Server Backup的所有備份資訊：

wbadmin get versions -backup Target:'\\?\Volume{b3e5f3fa- 78f5-4573-8613-ae87ed596a51}\'

執行之後，可以發現該命令參數完整顯示備份時間、備份目標、版本識別碼以及可以復原的資料類型：

一旦確認所要還原的版本識別碼後（例如02/03/2026-07:08），就可以執行以下的命令完成DC主機的系統狀態復原：

wbadmin start systemstaterecovery -version:02/03/2026-07:08 -backuptarget: '\\?\Volume{b3e5f3fa-78f5-4573- 8613-ae87ed596a51}\' -quiet

針對上述範例中的系統狀態還原，無論是選擇透過Windows Server Backup圖形介面，還是經由Wbadmin命令工具進行還原，當人為誤刪大量AD物件且已同步到全網域時，還原之後還可進一步將該DC主機的「特定」資料標記為「權威性」，來強制覆蓋網域中其他DC主機的資料，而不是直接在Windows Server Backup勾選「執行Active Directory檔案的權威復原」選項，因為該選項會將所有已還原的AD系統狀態資料皆設定為權威性。

關於這項還原功能的使用，必須在AD備份完成還原並且在重新開機前，使用內建的ntdsutil命令工具來完成。使用方式很簡單，首先依序執行「ntdsutil」、「activate instance ntds」、「authoritative restore」命令。

接著，如果要還原整個網域，可以執行「restore database」，若是要還原特定組織單位（OU），則選擇執行例如「restore subtree "OU=Sales,DC=lab02,DC=com"」，如果只是要還原單一個AD帳號（例如吳傑森），便執行「restore object "CN=吳傑森,OU=Users,DC=lab02,DC=com"」。

AD裸機還原實作

所謂的裸機還原（Bare Metal Recovery，BMR）是指當DC伺服器硬體全毀，或是Windows Server作業系統無法正常開機時，如何透過備份映像檔從無到有重建整台主機。

首先，將準備好的Windows Server 2025安裝映像，製作成可開機的USB隨身碟，並在已無法開機的DC主機上啟動。成功以USB安裝磁碟啟動後，來到「選取設定選項」頁面，選取「修復我的電腦」設定並按下〔下一步〕按鈕，重新啟動作業系統。

重新啟動作業系統後，首先必須選擇目前的鍵盤配置，接著在「選擇選項」頁面中點選「疑難排解」。然後，在「進階選項」頁面中點選「系統映像修復」，此時便可以點選「Windows Server」選項。

來到「選取系統映像備份」頁面中，如圖21所示，系統預設會自動選擇「使用最新可用的系統映像」，也就是Windows Server Backup的最新一次備份。如果想要自行選擇所要還原的映像，則選擇「選取系統映像」。

如圖22所示，在「選擇其他還原選項」頁面中，原則可以直接按下〔下一步〕按鈕，開始進行裸機的還原作業。不過，如果目前DC主機已替換成全新的磁碟，可以勾選「格式化並重新分割磁碟」設定。若需要進一步安裝磁碟控制卡的驅動程式，則按下〔安裝驅動程式〕按鈕。此時，先按下〔進階〕按鈕。

在「重新製作電腦映像」頁面中，可以進一步自行決定是否要「還原完成，自動重新啟動此電腦」，以及「自動檢查及更新磁碟錯誤資訊」，最後按下〔確定〕按鈕即可。

＜本文作者：顧武雄，Microsoft MVP 2004-2016、MCITP與MCTS認證專家、台灣微軟Technet、TechDays、Webcast、MVA特約資深顧問講師、VMware vExpert 2016-217、IBM Unified Communications/Notes/Domino/Connections Certified。＞