Так а что помогло? 2й ребут?
Нет, не в ребуте дело. Я нашел КБ Veeam, получается Agent восстанавливает Сервер с АД в безопасном режиме, в него можно войти только с DSRM аккаунтом восстановления служб каталогов. Дальше нужно открыть CMD, и ввести команду (пишу по памяти), bcdedit /removesafe set, в общем убераем флаг безопасного режима с загрузчика. И делаем ребут. Вот теперь восстановленный сервер запущен и работает. Но это для моего случая, когда я просто восстановил для теста бекап физического сервера с AD/DNS в Hyper-V, с сетью которая не связанная с продакшн сетью, в которой ещё есть два контроллера домена.
Если бы я восстанавливал как по настоящему, то при заходе под аккаунтом DSRM мне бы пришлось больше комманд ввести, чтобы не было нарушения консистентности записей на всех КД (USN Rollback)