下图显示了当快照在正在运行的虚拟域控制器上还原时，虚拟化安全措施如何阻止由 USN 回滚引起的分歧。

备注

简化了之前的插图以解释这些概念。

1. 在时间 T1，虚拟机监控程序管理员拍摄虚拟      DC1 的快照。      此时 DC1 的 USN 值（实际上为      highestCommittedUsn）为 100，InvocationId（在之前的图中表示为 ID）值为 A（实际上它是 GUID）。 SavedVMGID 值是 DC 的 DIT 文件中的 VM 生成 ID（根据 DC 的计算机对象存储在名为 msDS-GenerationId的属性中）。 VMGID 是虚拟机驱动程序中可用的 VM 生成 ID 的当前值。 该值由虚拟机监控程序提供。

2. 在稍后的时间 T2，100 位用户将添加到此 DC（将用户视为可能会在时间 T1 和 T2 之间在此 DC 上执行的更新的示例；实际上，这些更新可能是用户创建、组创建、密码更新、属性更新等的组合）。      在此示例中，每个更新使用一个的 USN（但在实际中一个用户创建可能会使用多个 USN）。 在提交这些更新之前，DC1 将检查其数据库中的 VM 生成 ID 值 （savedVMGID） 是否与驱动程序中可用的当前值      (VMGID) 相同。      因为还没有发生回滚，所以它们是相同的，因此将提交更新且 USN 将上移至 200，这指示下一个更新可以使用 USN 201。 InvocationId、savedVMGID 和 VMGID 中没有发生任何更改。      在下一个复制周期，这些更新将复制到 DC2。 DC2 对其进行更新高水印 (和UptoDatenessVector) 表示只需为 DC1(A) 此处@USN= 200。 也就是说，通过 USN 200，DC2 可感知来自      InvocationId A 上下文中的 DC1 的所有更新。

3. 在时间 T3，在时间 T1 拍摄的快照将应用到 DC1。 DC1 已回滚，因此其 USN 回滚到 100，这指示它可从 101 起使用 USN 以与后续更新相关联。      但是，在这种情况下，支持 VM 生成 ID 的虚拟机监控程序上的 VMGID 值将会不同。

4. 随后，当 DC1 执行任何更新时，它会检查其数据库中 VM 生成 ID 的值 （savedVMGID） 与虚拟机驱动程序中的值      (VMGID) 是否相同。      在该案例中，它不相同，因此 DC1 将此推断为回滚的指示，而且它将触发虚拟化安全措施；换言之，它将重置其 InvocationId (ID = B) 并弃用 RID 池（未显示在之前的图中）。      然后，它将 VMGID 的新值保存在其数据库中并在新      InvocationId b。 上下文中提交这些更新 (USN      101 – 250)在下一个复制周期，DC2 知道执行任何操作从 DC1 无法感知 InvocationId B 上下文中以便它请求从 DC1 以 InvocationID B 相关联的所有内容因此，在 DC1      上应用快照之后执行的更新将安全地聚合。      此外，T2 时在 DC1 上执行的更新集（它们已在快照还原后在 DC1 上丢失）将在下一次计划复制时复制回 DC1 中，因为它们已复制到 DC2（如返回 DC1 的虚线表示）。

来宾使用虚拟化安全措施后，NTDS 将从伙伴域控制器非***地复制 Active Directory 对象差异入站。 将相应地更新目标目录服务的***程度矢量。 然后，来宾将同步 SYSVOL：

• 如果使用 FRS，则来宾将停止 NTFRS 服务并设置 D2 BURFLAGS 注册表值。 然后，它将启动 NTFRS 服务（该服务非***地复制入站），并尽可能重新使用现有未改变的 SYSVOL 数据。

• 如果使用 DFSR，来宾将停止 DFSR 服务并删除 DFSR 数据库文件 (默认位置： %systemroot%\system 卷      information\dfsr\)。 然后，它将启动 DFSR 服务（该服务非***地复制入站），并尽可能重新使用现有未改变的 SYSVOL 数据。