Bewährte Best Practices für die Sicherung von Active Directory
Active Directory ist ein weithin bekannter Dienst für das zentralisierte Management und die Benutzerauthentifizierung in Windows-basierten Umgebungen. Administratoren können die der Domain hinzugefügten Computer zentral verwalten, was bei großen und verteilten Infrastrukturen praktisch und zeitsparend ist. MS SQL und MS Exchange erfordern in der Regel Active Directory. Wenn der Active Directory-Domänencontroller (AD DC) ausfällt, können sich die betroffenen Benutzer nicht mehr anmelden und die Systeme funktionieren nicht mehr ordnungsgemäß, was zu Problemen in Ihrer Umgebung führen kann. Deshalb ist das Sichern Ihres Active Directory wichtig.
Dieser Blogbeitrag erläutert Active Directory-Backup Best Practices einschließlich effektiver Methoden und Tools.
Funktionsweise von Active Directory
Active Directory ist ein Verwaltungssystem, das aus einer Datenbank besteht, in der die einzelnen Objekte und Transaktionsprotokolle gespeichert werden. Die Datenbank ist in mehrere Bereiche unterteilt, die unterschiedliche Arten von Informationen enthalten – eine Schemapartition (die den Aufbau der AD-Datenbank einschließlich der Objektklassen und ihrer Attribute festlegt), eine Konfigurationspartition (Informationen zur AD-Struktur) und den Domänennamenkontext (Benutzer, Gruppen, Druckerobjekte). Die Active Directory-Datenbank weist eine hierarchische, baumartige Struktur auf. Zur Speicherung der AD-Datenbank wird die Datei Ntds.dit verwendet.
Active Directory nutzt für den Betrieb im Netzwerk die Protokolle LDAP und Kerberos. LDAP (Lightweight Directory Access Protocol) ist ein offenes, plattformübergreifendes Protokoll für den Zugriff auf Verzeichnisse (wie Active Directory), das auch die Authentifizierung bei Verzeichnisdiensten mittels Benutzername und Passwort ermöglicht. Kerberos ist ein sicheres Authentifizierungs- und Single-Sign-On-Protokoll, das auf Kryptografie mit geheimen Schlüsseln basiert. Benutzernamen und Passwörter, die vom Kerberos-Authentifizierungsserver überprüft werden, sind im LDAP-Verzeichnis gespeichert (bei Verwendung von Active Directory).
Active Directory ist eng mit dem DNS-Server, den geschützten Windows-Systemdateien, der Systemregistrierung eines Domänencontrollers sowie dem Sysvol-Verzeichnis, der COM+-Klassenregistrierungsdatenbank und den Clusterdienstinformationen integriert. Diese Integration hat direkten Einfluss auf die Sicherungsstrategie für Active Directory.
Welche Daten müssen gesichert werden?
Wie im vorherigen Abschnitt beschrieben, müssen Sie nicht nur eine Kopie von Ntds.dit , sondern auch von allen mit Active Directory integrierten Komponenten erstellen. Die Liste aller Komponenten, die integraler Bestandteil des Domänencontroller-Systems sind, lautet wie folgt:
- Active Directory-Domänendienste
- Registrierungsdatenbank des Domänencontrollersystems
- Sysvol Verzeichnis
- COM+-Klassenregistrierungsdatenbank
- In Active Directory integrierte DNS-Zoneninformationen
- System- und Startdateien
- Clusterdienstinformationen
- Zertifikatsdienstdatenbank (sofern Ihr Domänencontroller ein Zertifikatsdienstserver ist)
- IIS-Metaordner (sofern Microsoft Internet Information Services auf Ihrem Domänencontroller installiert sind)
Allgemeine Empfehlungen zum Active Directory-Backup
Werfen wir einen Blick auf einige allgemeine Empfehlungen zum Active Directory-Backup.
Mindestens ein Domänencontroller in einer Domäne muss gesichert werden
Es ist offensichtlich, dass wenn Sie nur einen Domänencontroller in Ihrer Infrastruktur haben, Sie dieses DC sichern sollten. Wenn Sie mehr als einen Domänencontroller haben, sollten Sie zumindest einen von ihnen sichern. Sie sollten den Domänencontroller sichern, auf dem FSMO (Flexible Single Master Operation) Rollen installiert sind. Wenn Sie alle Domänencontroller verloren haben, können Sie einen primären Domänencontroller (mit FSMO-Rollen) wiederherstellen und einen neuen sekundären Domänencontroller bereitstellen, der Änderungen vom primären DC an den sekundären DC repliziert.
Schließen Sie Ihr Active Directory-Backup in Ihren Disaster Recovery-Plan ein
Erstellen Sie Ihren Disaster Recovery (DR)-Plan mit mehreren Szenarien zur Wiederherstellung Ihrer Infrastruktur, während Sie sich auf hypothetische Katastrophen vorbereiten. Die Best Practice ist es, einen umfassenden DR-Plan zu erstellen, bevor eine Katastrophe eintritt. Achten Sie genau auf die Wiederherstellungsreihenfolge. Beachten Sie, dass ein Domänencontroller wiederhergestellt werden muss, bevor Sie andere Maschinen mit Active Directory-bezogenen Diensten wiederherstellen können, da diese ohne den AD DC nutzlos werden können. Das Erstellen eines funktionsfähigen Notfallwiederherstellungsplan, das Abhängigkeiten verschiedener Dienste berücksichtigt, die auf verschiedenen Maschinen laufen, garantiert Ihnen eine erfolgreiche Wiederherstellung. Sie können Ihren Domänencontroller lokal, an einem Remote-Standort oder in der Cloud sichern. Zu den Best Practices für das Active Directory-Backup gehört, mehr als eine Kopie Ihres Domänencontrollers gemäß den 3-2-1-Regel für das Backup zu haben.
Active Directory regelmäßig sichern
Sie sollten Ihr Active Directory regelmäßig sichern in einem Intervall, das 60 Tage nicht überschreitet. AD-Dienste gehen davon aus, dass das Alter des Active Directory-Backups die Lebensdauer der AD-Tombstone-Objekte, die standardmäßig 60 Tage beträgt, nicht überschreiten kann. Dies liegt daran, dass das Active Directory die Tombstone-Objekte verwendet, wenn Objekte gelöscht werden müssen. Wenn ein AD-Objekt gelöscht wird (die Mehrzahl der Attribute dieses Objekts werden gelöscht), wird es als Tombstone-Objekt markiert und nicht physisch gelöscht, bis die Lebensdauer der Tombstones abläuft.
Wenn Sie mehrere Domänencontroller in Ihrer Infrastruktur haben und die Active Directory-Replikation aktiviert ist, wird das Tombstone-Objekt an jeden Domänencontroller kopiert, bis die Lebensdauer der Tombstones abläuft. Wenn Sie einen Ihrer Domain-Controller aus einem Backup, das älter als die Lebensdauer eines Tombstones ist, wiederherstellen, treten Inkonsistenzen zwischen den Active Directory-Domain-Controllern auf. In diesem Fall würde der wiederhergestellte Domain-Controller Informationen über Objekte haben, die nicht mehr existieren. Dies kann dementsprechend Fehler verursachen.
Wenn Sie nach der Erstellung eines Backups Treiber oder Anwendungen auf Ihrem Domain-Controller installiert haben, sind diese nach der Wiederherstellung aus diesem Backup nicht funktionsfähig, da der Systemstatus (einschließlich der Registry) auf einen früheren Zustand wiederhergestellt wird. Dies ist nur ein weiterer Grund, Active Directory häufiger als alle 60 Tage zu sichern. Wir empfehlen dringend, den Active Directory-Domain-Controller jede Nacht zu sichern.
Verwenden Sie Software, die die Datenkonsistenz gewährleistet
Wie bei jeder anderen Datenbank muss die Active Directory-Datenbank so gesichert werden, dass die Konsistenz der Datenbank erhalten bleibt. Die Konsistenz kann am besten erhalten werden, wenn Sie die AD DC-Daten sichern, wenn der Server ausgeschaltet ist oder Microsoft Volume-Shadow-Copy-Dienst (VSS) auf einem laufenden Rechner genutzt wird. Die Sicherung des Active Directory-Servers im ausgeschalteten Zustand ist möglicherweise keine gute Idee, wenn der Server im 24/7-Modus betrieben wird.
Die Best Practices für die Active Directory-Sicherung empfehlen die Verwendung von VSS-kompatiblen Sicherungsanwendungen zur Sicherung eines Servers, auf dem Active Directory läuft. VSS-Schreiber erstellen einen Schnappschuss, der den Systemstatus einfriert, bis die Sicherung abgeschlossen ist, um zu verhindern, dass während des Sicherungsprozesses aktive Dateien, die von Active Directory verwendet werden, geändert werden.
Verwenden Sie Sicherungslösungen, die eine granulare Wiederherstellung bieten
Bei der Wiederherstellung eines Active Directory können Sie den gesamten Server mit Active Directory und all seinen Objekten wiederherstellen. Eine vollständige Wiederherstellung kann viel Zeit in Anspruch nehmen, insbesondere wenn Ihre AD-Datenbank eine beträchtliche Größe hat. Wenn einige Active Directory-Objekte versehentlich gelöscht werden, möchten Sie möglicherweise nur diese Objekte und nichts anderes wiederherstellen. Die Best Practices für die Active Directory-Sicherung empfehlen die Verwendung von Sicherungsmethoden und Anwendungen, die eine granulare Wiederherstellung ermöglichen, d.h. dass nur bestimmte Active Directory-Objekte aus einem Backup wiederhergestellt werden. Dies ermöglicht es Ihnen, die für die Wiederherstellung aufgewendete Zeit zu begrenzen.
Native Methoden zur Sicherung von Active Directory
Microsoft hat eine Reihe von nativen Tools zur Sicherung von Windows-Servern, einschließlich der Server, die Active Directory-Domain-Controller ausführen, entwickelt.
Windows Server-Backup
Windows Server-Backup ist ein Dienstprogramm von Microsoft, das bei Windows Server 2008 und späteren Versionen des Windows Servers die NTBackup -Funktionalität ersetzt, welche in Windows Server 2003 integriert war. Um darauf zuzugreifen, müssen Sie lediglich Windows Server-Backup im Menü Rollen und Funktionen hinzufügen aktivieren. Windows Server-Backup bietet eine neue grafische Benutzeroberfläche (GUI) und ermöglicht die Erstellung von inkrementellen Backups mithilfe von VSS. Die gesicherten Daten werden in einer VHD-Datei gespeichert – dem gleichen Dateiformat, das für Microsoft Hyper-V verwendet wird. Sie können solche VHD-Datenträger in einer virtuellen Maschine oder an einer physischen Maschine mounten und auf die gesicherten Daten zugreifen. Beachten Sie, dass das VHD-Bild in diesem Fall im Gegensatz zu dem von MVMC (Microsoft Virtuelle Maschine Converter) erstellten VHD nicht bootfähig ist. Sie können das gesamte Volume oder nur den Systemstatus mithilfe des wbadmin start systemstatebackup Befehls sichern. Zum Beispiel:
wbadmin start systemstatebackup --backuptarget:E:
Sie sollten ein Sicherungsziel wählen, das sich von dem Volume unterscheidet, von dem Sie die Daten sichern, und das kein freigegebener Remote-Ordner ist.
Wenn es Zeit ist, die Wiederherstellung durchzuführen, sollten Sie den Domänencontroller im Wiederherstellungsmodus für die Verzeichnisdienste (DSRM) starten, indem Sie F8 drücken, um erweiterte Startoptionen zu öffnen (wie Sie es beim Betreten eines abgesicherten Modus tun würden). Dann sollten Sie den Befehl wbadmin get versions -backupTarget:path_to_backup machine:name_of_server verwenden, um das geeignete Backup auszuwählen und mit der Wiederherstellung der benötigten Daten zu beginnen. Sie können auch NTDSutil verwenden, um bestimmte Active Directory-Objekte während der Wiederherstellung in der Befehlszeile zu verwalten.
Die Vorteile der Verwendung von Windows Server-Backup für Active Directory-Sicherungen sind Erschwinglichkeit, VSS-Fähigkeit und die Möglichkeit, das gesamte System oder nur Active Directory-Komponenten zu sichern.
Nachteile beinhalten die Notwendigkeit, über die entsprechenden Fähigkeiten und das Wissensgrundlage zu verfügen, um einen Backup- und Wiederherstellungsprozess zu konfigurieren.
System Center Data Protection Manager
Microsoft empfiehlt die Verwendung des System Center Data Protection Manager (SC DPM) zur Sicherung von Daten, einschließlich des Active Directory in einer Windows-basierten Infrastruktur. SC DPM ist eine zentralisierte Backup- und Wiederherstellungslösung auf Enterprise-Niveau, die Teil der System Center Suite ist und den Windows Server schützt, zu dem Dienste wie Active Directory gehören. Im Gegensatz zu dem kostenlosen integrierten Windows Server-Backup ist SC DPM eine kostenpflichtige Software, die als komplexe Lösung separat bereitgestellt werden muss. Die Installation kann im Vergleich zu Windows Server-Backup etwas herausfordernd erscheinen. In der Tat, ein Backup-Agent muss installiert sein, um sicherzustellen, dass Ihre Maschine vollständig geschützt ist.
Die Hauptfunktionen des System Center Data Protection Manager in Bezug auf Active Directory Backup sind:
- VSS-Unterstützung
- Inkrementelles Backup
- Backup in die Microsoft Azure Cloud
- Keine granulare Objektwiederherstellung für Active Directory
Der Einsatz von SC DPM ist am praktischsten, wenn Sie eine große Anzahl von Windows-Maschinen einschließlich MS Exchange und MS SQL Server schützen müssen.
Backup des virtuellen Domain Controllers
Die aufgeführten nativen Active Directory-Backup-Methoden können sowohl für physische Server als auch für virtuelle Maschinen verwendet werden, die Active Directory-Server bereitstellen. Das Ausführen von Domain-Controllern auf virtuellen Maschinen bietet eine Reihe von Vorteilen, insbesondere für VMs, wie z. B. hostbasiertes Backup, die Möglichkeit, als VMs auf verschiedenen physischen Servern wiederhergestellt zu werden usw. Die besten Praktiken für Active Directory-Backups empfehlen die Verwendung hostbasierter Backup-Lösungen, wenn Sie Backups Ihrer Active Directory-Domain Controller auf virtuellen Maschinen auf Hypervisor-Ebene erstellen.
Schlussfolgerung
Active Directory wird als eine der geschäftskritischsten Anwendungen eingestuft, deren Unterbrechung Ausfallzeiten von Benutzern und Diensten verursachen kann. Der heutige Blog-Beitrag erklärte die besten Praktiken für Active Directory-Backups, um Ihnen beim Schutz Ihrer Infrastruktur vor AD-Ausfällen zu helfen. Die Auswahl der richtigen Backup-Lösung ist der wichtige Aspekt in diesem Fall.
NAKIVO Backup & Replication ist eine Backup-Software für VMware– und Hyper-V-VMs, auf denen Active-Directory-Domänencontroller ausgeführt werden. Diese Lösung ermöglicht es Ihnen, gesamte Domain Controller-VMs zu sichern, selbst wenn sich die VM in einem laufenden Zustand befindet, während der Application-Awareness respektiert wird (VSS wird verwendet) und eine sofortige Wiederherstellung von AD-Objekten ermöglicht. Es sind keine Agents erforderlich. NAKIVO Backup & Replication unterstützt die granulare Wiederherstellung von Active Directory, wodurch Sie bestimmte AD-Objekte und Container ohne den Zeitaufwand für eine vollständige VM-Wiederherstellung wiederherstellen können. Natürlich wird auch die vollständige Wiederherstellung der Domain Controller-VM unterstützt.
