Invocation ID

Définition

L'Invocation ID est un identifiant GUID unique attribué à chaque instance de base de données Active Directory (NTDS.dit) d'un contrôleur de domaine, régénéré automatiquement à chaque restauration non autoritaire depuis une sauvegarde, dont le rôle est de permettre aux autres contrôleurs de domaine de distinguer une instance restaurée de l'instance d'origine lors de la réplication multi-maître basée sur les valeurs USN. Ce mécanisme est fondamental pour éviter un phénomène appelé USN Rollback : sans régénération de l'Invocation ID lors d'une restauration, les autres contrôleurs de domaine continueraient de considérer les valeurs USN émises par le DC restauré comme faisant partie de la même séquence continue qu'avant la restauration, alors que celui-ci a en réalité repris son compteur depuis un point antérieur, ce qui provoquerait des incohérences graves de réplication, notamment la non-propagation de modifications légitimes survenues après la date de la sauvegarde restaurée, en particulier des changements de mot de passe. Ce risque est particulièrement critique dans les environnements de contrôleurs de domaine virtualisés, où un retour à un instantané (snapshot) antérieur sans passer par une procédure de restauration officielle via wbadmin peut provoquer un USN Rollback silencieux et non détecté. Microsoft a introduit des mécanismes de protection contre la virtualisation non maîtrisée, via l'attribut VM-GenerationID, pour détecter ce type d'incident et forcer la régénération de l'Invocation ID.