Загрузка Windows Server 2019 в безопасном режиме

Загрузка Windows Server 2019 в безопасном режиме — экран параметров восстановления

Введение: зачем нужен безопасный режим
Методы загрузки
- Метод 1: System Configuration (msconfig)
- Метод 2: Shift + Перезагрузка на экране входа
- Метод 3: Командная строка с bcdedit
- Метод 4: Установка/Recovery Drive
Дополнительно: Directory Services Restore Mode и особенности доменных контроллеров
Пошаговый план отката и проверок
Чек-листы для ролей администраторов
Рекомендации по безопасности и бэкапам
Частые вопросы
Ключевые выводы

Введение: зачем нужен безопасный режим

Безопасный режим — это диагностическая конфигурация запуска Windows, которая загружает только базовые драйверы и системные службы. Это даёт чистую среду для поиска причин: неисправные драйверы, конфликты ПО, остатки вредоносных программ, некорректные обновления или проблемы с реестром. Для серверных систем это также способ безопасно восстановить контроллер домена или выполнить восстановление Active Directory.

Важно: безопасный режим не предназначен для работы продуктивных ролей — многие службы (например, службы домена или IIS) не запускаются в стандартном безопасном режиме.

Методы загрузки

Метод 1: System Configuration (msconfig)

Когда подходит: сервер загружается нормально и у вас есть доступ к рабочему столу.

Шаги:

Нажмите Windows + R, введите msconfig и нажмите Enter.
В окне «Конфигурация системы» перейдите на вкладку Загрузка.
В разделе «Параметры загрузки» установите флажок Безопасный режим и выберите режим:
- Минимальный — только базовая графическая оболочка и драйверы.
- Сеть — добавляет сетевые драйверы и службы.
- Альтернативная оболочка — включает командную строку (полезно для восстановления).
Нажмите ОК, затем Перезагрузить.

Критерии приёмки:

Сервер перезагружается и входит в безопасный режим.
Желаемые сетевые подключения доступны, если выбран режим «Сеть».

Примечание: после решения проблемы снимите флажок «Безопасный режим» в msconfig, чтобы вернуться к обычной загрузке.

Метод 2: Shift + Перезагрузка на экране входа

Когда подходит: вы не хотите менять постоянные настройки загрузчика и нужен единоразовый запуск в среде восстановления.

Шаги:

На экране входа нажмите кнопку питания в правом нижнем углу.
Удерживая клавишу Shift, выберите Перезагрузка.
Система загрузится в меню восстановления. Выберите: Устранение неполадок > Дополнительные параметры > Параметры загрузки > Перезагрузка.
После перезагрузки выберите клавишу для включения безопасного режима:
- Нажмите 4 или F4 — включить безопасный режим (минимальный).
- Нажмите 5 или F5 — включить безопасный режим с поддержкой сети.
- Нажмите 6 или F6 — включить безопасный режим с командной строкой.

Совет: этот метод не изменяет запись загрузчика и безопасен для разовых диагностик.

Метод 3: Командная строка с bcdedit

Когда подходит: нужен программный или удалённый способ включить безопасный режим, или сервер не даёт интерактивного доступа к GUI.

Шаги:

Откройте Командную строку от имени администратора (или PowerShell с повышенными правами).
Выполните команду для минимального безопасного режима:

bcdedit /set {default} safeboot minimal

Альтернативные значения safeboot:

minimal — стандартный безопасный режим
network — безопасный режим с сетью
alternateshell — безопасный режим с командной строкой
dsrepair — Directory Services Restore Mode (для доменных контроллеров)

Перезагрузите сервер: shutdown /r /t 0 или через GUI.
Чтобы отменить безопасный режим и вернуться к обычной загрузке, выполните:

bcdedit /deletevalue {default} safeboot

Критерии приёмки:

Сервер уходит в выбранный тип безопасного режима.
После отката запись загрузчика возвращается к обычному состоянию.

Важно: аккуратно используйте команду на удалённых серверах: некорректная настройка загрузчика может усложнить автоматический перезапуск.

Метод 4: Установка или Recovery Drive

Когда подходит: сервер не загружается вообще и нужно использовать внешнюю среду восстановления.

Шаги:

Вставьте загрузочный носитель с Windows Server 2019 или загрузочную флешку с Recovery Drive.
Загрузитесь с носителя (измените порядок загрузки в BIOS/UEFI или используйте меню загрузки).
На экране установки нажмите Восстановление системы или Repair your computer.
Перейдите в Устранение неполадок > Дополнительные параметры > Командная строка.
В командной строке выполните те же команды bcdedit, что в Методе 3, например:

bcdedit /set {default} safeboot minimal

Перезагрузите сервер и снимите носитель, чтобы система загрузилась в безопасном режиме.

Совет: если доступна только PE-среда, используйте назначение правильного диска и путь к загрузочной записи (обычно {default} работает, но в сложных конфигурациях нужно использовать правильный идентификатор загрузочной записи).

Дополнительно: Directory Services Restore Mode и доменные контроллеры

Directory Services Restore Mode (DSRM) — специальный режим для восстановления Active Directory на контроллерах домена. Он запускает Windows с локальным доступом к базе AD и позволяет:

восстановить объекты AD из бэкапа;
запустить ntdsutil для ремонта базы данных AD;
удалить повреждённые репликации.

Как включить DSRM:

bcdedit /set {default} safeboot dsrepair

Особенности и предостережения:

В DSRM службы сетевой репликации Active Directory не работают; планируйте работы в окне обслуживания.
Помните пароль DSRM, созданный при поднятии контроллера домена. Если пароль утерян — подготовьте процедуру его сброса заранее.
Не выполняйте производственные операции в DSRM без чёткой цели и плана восстановления.

Пошаговый план отката и проверки после безопасного режима

Завершите диагностику и зафиксируйте сделанные изменения (логи, дампы).
Откатите запись загрузки, если вы меняли её через bcdedit:

bcdedit /deletevalue {default} safeboot

Если использовали msconfig — откройте msconfig и снимите флажок «Безопасный режим».
Перезагрузите сервер в обычном режиме.
Проверьте корректный запуск ключевых сервисов: служба Active Directory, DNS, DHCP, IIS и т.д.
Просмотрите журналы событий (Event Viewer) на предмет ошибок, связанных с драйверами или приложениями.
Если проблема решена — задокументируйте шаги и обновите план действий для следующего инцидента.

Чек-листы для ролей администраторов

Для удобства ниже приведены сжатые чек-листы под разные роли.

Чек-лист для системного администратора:

Создать точную запись времени и описать симптомы.
Сделать снимок конфигурации/скриншоты ошибок.
Попробовать безопасный режим минимально влиятельным способом (Shift+Перезагрузка).
При необходимости использовать bcdedit для удалённого переключения.
Откатить изменения и проверить сервисы.

Чек-лист для администратора Active Directory:

Если проблема связана с AD, используйте DSRM.
Подтвердить наличие валидных бэкапов AD.
Не выполнять репликацию до проверки целостности БД.
Задокументировать действия и результат.

Чек-лист для администратора IIS/Приложений:

В безопасном режиме большинство служб веб-платформы не активны — используйте его для удаления расширений/модулей.
После исправления — проверить пул приложений и сайт в обычной загрузке.

Когда безопасный режим не помогает — альтернативы и следующие шаги

Восстановление системы из бэкапа образа сервера.
Восстановление реестра из автоматической резервной копии.
Полная переустановка роли/сервиса на тестовом узле и перенос конфигурации.
Применение инструментов диагностики: SFC (sfc /scannow) и DISM (DISM /Online /Cleanup-Image /RestoreHealth) — их можно запускать в нормальном режиме и в некоторых вариантах безопасного режима.

Частые вопросы

Как загрузиться в безопасном режиме с поддержкой сети?

Выберите вариант «Сеть» в msconfig или выполните:

bcdedit /set {default} safeboot network

или после Shift+Перезагрузки нажмите F5.

Можно ли выполнить восстановление Active Directory в обычном безопасном режиме?

Для восстановления AD требуется DSRM. Обычный безопасный режим не предоставляет необходимых инструментов для безопасного правки БД AD.

Как выйти из безопасного режима?

Удалите параметр safeboot:

bcdedit /deletevalue {default} safeboot

или снимите флажок «Безопасный режим» в msconfig и перезагрузите сервер.

Будут ли работать роли сервера в безопасном режиме?

Нет. Многие серверные роли отключены в безопасном режиме. Используйте его только для диагностики и исправления проблем.

Краткая методология для быстрого реагирования

Оцените состояние: можно ли загрузиться в GUI?
Если да — попытайтесь Shift+Перезагрузка. Если нет — используйте Installation Media.
Соберите логи и снимки состояния.
Включите необходимый тип безопасного режима (минимальный, сеть, alternateshell, dsrepair).
Проведите диагностику, примените правки, выполните откат загрузчика и проверьте сервисы.

Mermaid: быстрый поток решений

flowchart TD
  A[Проблема с загрузкой сервера] --> B{Сервер загружается в GUI?}
  B -- Да --> C[Использовать msconfig или Shift+Перезагрузка]
  B -- Нет --> D[Загрузиться с Installation Media]
  C --> E{Нужна сеть?}
  E -- Да --> F[Выбрать Safe Mode with Networking]
  E -- Нет --> G[Выбрать Minimal]
  D --> H[Открыть Командную строку > bcdedit]
  H --> I[Перезагрузить в безопасный режим]
  I --> J[Диагностика и исправления]
  J --> K[Откат bcdedit и перезагрузка в нормальный режим]

Краткие определения

Безопасный режим — режим с минимальным набором драйверов и служб.
DSRM — Directory Services Restore Mode для восстановления AD.
bcdedit — утилита управления загрузочными параметрами Windows.

Ключевые выводы

Безопасный режим — основной инструмент для диагностики проблем загрузки и конфликтов ПО на Windows Server 2019.
Используйте самый щадящий метод (Shift+Перезагрузка) для одноразовой диагностики.
Для восстановления Active Directory применяйте DSRM и готовьте бэкапы заранее.
Всегда фиксируйте изменения и имеющуюся информацию перед откатом.