Una información en general muy poco conocida, es la posibilidad de crear “Snapshots” (Instantáneas) del estado de Active Directory, éstos permiten congelar, como si fuera sacarle una foto, a nuestro directorio en un momento específico
Es importante aclarar, que de esta instantánea no podremos recuperar ni modificar los datos, pero sí nos permitirá comparar con el estado actual y observar los cambios que se han producido desde el estado inicial hasta el momento actual
En esta demostración comenzaré con una pequeña estructura para demostración: una Unidad Organizativa (OU1) con un usuario (User Uno) como muestra la siguiente figura
En este estado crearé una instantánea (“Snapshot”), luego haré algún cambio, y finalmente montaré la instantánea creada y la compararé con el estado actual
La demostración constará de los siguientes pasos:
- Crear el “Snapshot” (Instantánea)
- Modificar el Directorio Activo
- Montar el “Snapshot” (Instantánea)
- Acceder con la interfaz gráfica al “Snapshot” montado
- Comparar la versión actual con la del “Snapshot”
1. Crear el “Snapshot” (Instantánea)
Debemos ejecutar desde línea de comandos como administrador
NTDSUTIL
ACTIVATE INSTANCE NTDS
SNAPSHOT
CREATE
QUIT
QUIT
Resalté en amarillo los comandos, y en rojo las repuestas a los comandos
2. Modificar el Directorio Activo
Simplemente eliminaré la cuenta de “User Uno” 
3. Montar el “Snapshot” (Instantánea)
NTDSUTIL
ACTIVATE INSTANCE NTDS
SNAPSHOT
LIST ALL
MOUNT 1
QUIT
QUIT 
4. Acceder con la interfaz gráfica al “Snapshot” montado
Teniendo ya montado el “Snapshot” desde el paso anterior, debemos obtener el “path” al archivo NTDS.DIT. Podemos usar el explorador de archivos y un pequeño truco para obtener el dato deseado 
Cuando encontremos el archivo NTDS.DIT pulsamos la tecla mayúsculas y botón derecho y nos aparecerá la opción “Copy as path” que incluye el camino completo inclusive el nombre del archivo 😉 
El paso siguiente es exponer el “Snapshot” por LDAP especificando cualquier puerto no usado (en mi caso elegí 48000), con el utilitario DSAMAIN.EXE
DSAMAIN -DBPATH <path que copiamos> -LDAPPORT 48000
Parece que se colgara, pero no es así, no lo interrumpan 🙂
5. Comparar la versión actual con la del “Snapshot”
Ahora expondremos con interfaz gráfica ambas versiones, la actual, y la del “Snapshot”
Para esto debemos tener abiertas simutáneamente dos instancias de Active Directory Users and Computers. Una, con la versión actual no la tocamos. Pero en la segunda con botón derechos sobre el nombre del Dominio elegimos “Change Domain Controller”
Y seleccionamos “This Domain Controller or AD LDS instance”, y anotamos el nombre de nuestro servidor indicando el puerto seleccionado anteriormente (48000)
Alcanzará con poner una consola al lado de otra para ver rápidamente las diferencias
Recordemos que esta opción no nos sirve como copia de seguridad, ni podremos hacer cambios en los “Snapshots”, pero podrán ser usados para detectar cambios
