Procedure consigliate per il backup di Active Directory
Active Directory è un servizio ampiamente conosciuto per la gestione centralizzata e l’autenticazione degli utenti in ambienti basati su Windows. Gli amministratori possono gestire centralmente i computer aggiunti al dominio, il che risulta comodo e consente di risparmiare tempo nelle infrastrutture di grandi dimensioni e distribuite. MS SQL e MS Exchange richiedono solitamente Active Directory. Se il controller di dominio di Active Directory (AD DC) non è disponibile, gli utenti interessati non possono effettuare l’accesso e i sistemi non funzionano correttamente, il che può causare problemi nel vostro ambiente. Ecco perché è importante eseguire il backup di Active Directory.
Questo articolo del blog illustra Backup di Active Directory le procedure consigliate, inclusi metodi e strumenti efficaci.
Principio di funzionamento di Active Directory
Active Directory è un sistema di gestione che comprende un database dove sono archiviati gli oggetti individuali e i log delle transazioni. Il database è diviso in diverse sezioni che contengono diversi tipi di informazioni: una partizione schema (che determina il design del database AD, inclusi le classi di oggetti e i loro attributi), una partizione di configurazione (informazioni sulla struttura AD) e il contesto dei nomi di dominio (utenti, gruppi, oggetti dell’oggetto stampante). Il database di Active Directory ha una struttura gerarchica ad albero. Il file Ntds.dit è utilizzato per archiviare il database AD.
Active Directory utilizza i protocolli LDAP e Kerberos per le sue funzioni attraverso la rete. LDAP (Lightweight Directory Access Protocol) è un protocollo multi-piattaforma aperto usato per accedere alle directory (come Active Directory) che consente anche l’accesso all’autenticazione dei servizi di directory utilizzando nome utente e password. Kerberos è un protocollo sicuro di autenticazione e single sign-on che utilizza la crittografia a chiave segreta. I nomi utente e le password controllati dal server di autenticazione Kerberos sono archiviati nella directory LDAP (nel caso in cui si utilizzi Active Directory).
Active Directory è strettamente integrato con il server DNS, i file di sistema protetti di Windows, il Registro di sistema di un controller di dominio e la directory Sysvol, il database di registrazione delle classi COM+ e le informazioni sul servizio di cluster. Tale integrazione influenza direttamente la strategia di backup di Active Directory.
Quali dati devono essere sottoposti a backup?
Secondo la sezione precedente, è necessario fare una copia non solo del Ntds.dit , ma di tutti i componenti integrati con Active Directory. L’elenco di tutti i componenti che fanno parte integrante del sistema del controller di dominio è il seguente:
- Servizi di dominio Active Directory
- Registro di sistema del controller di dominio
- directory Sysvol
- database di registrazione delle classi COM+
- informazioni sulla zona DNS integrate con Active Directory
- File di sistema e file di avvio
- Informazioni sul servizio di cluster
- database dei servizi certificati (se il tuo controller di dominio è un server di servizi certificati)
- cartelle meta IIS (se sono installati i servizi Microsoft Internet Information sul tuo controller di dominio)
Raccomandazioni generali per il backup di AD
Esaminiamo alcune raccomandazioni generali per il backup di Active Directory.
Almeno un controller di dominio in un dominio deve essere sottoposto a backup
È ovvio che se hai un solo controller di dominio nella tua infrastruttura, dovresti eseguire il backup di questo DC. Se hai più di un controller di dominio, dovresti eseguire il backup di almeno uno di essi. Dovresti eseguire il backup del controller di dominio che ha i ruoli FSMO (Flexible Single Master Operation) installati. Se hai perso tutti i controller di dominio, puoi ripristinare un controller di dominio primario (che contiene i ruoli FSMO) e distribuire un nuovo controller di dominio secondario, replicando le modifiche dal DC primario al DC secondario.
Includi il tuo backup di Active Directory nel tuo piano di ripristino di emergenza
Componi il tuo piano di ripristino di emergenza (DR) con diversi scenari per il ripristino della tua infrastruttura mentre ti prepari per disastri ipotetici. La pratica migliore è creare un piano DR completo prima che si verifichi un disastro. Presta particolare attenzione alla sequenza di ripristino. Tieni presente che un controller di dominio deve essere ripristinato prima di poter ripristinare altre macchine con servizi relativi ad Active Directory poiché possono diventare inutili senza il DC AD. Creare un piano di ripristino di emergenza praticabile che tenga conto delle dipendenze dei diversi servizi in esecuzione su diverse macchine garantisce un ripristino corretto. È possibile eseguire il backup del proprio controller di dominio su un sito locale, remoto o sul cloud. Tra le procedure consigliate per il backup di Active Directory vi è quella di avere più di una copia del controller di dominio rispetto al Regola di backup 3-2-1.
Esegui regolarmente il backup di Active Directory
Dovresti eseguire regolarmente il backup di Active Directory con un intervallo che non superi i 60 giorni. I servizi AD presuppongono che l’età del backup di Active Directory non possa essere superiore alla durata degli oggetti tombstone di AD, che per impostazione predefinita è di 60 giorni. Questo perché Active Directory utilizza gli oggetti tombstone quando è necessario eliminare oggetti. Quando un oggetto AD viene eliminato (la maggior parte degli attributi di detto oggetto viene eliminata), è contrassegnato come oggetto tombstone e non viene eliminato fisicamente fino a quando non scade il periodo di durata dell’oggetto tombstone.
Se ci sono più controller di dominio nella tua infrastruttura e la replica di Active Directory è abilitata, l’oggetto tombstone viene copiato su ogni controller di dominio fino alla scadenza della durata dell’oggetto tombstone. Se ripristini uno dei tuoi controller di dominio da un backup la cui età è superiore alla durata del tombstone, si verificheranno informazioni incoerenti tra i controller di dominio di Active Directory. In questo caso, il controller di dominio ripristinato avrebbe informazioni su oggetti che non esistono più. Questo può causare errori di conseguenza.
Se hai installato driver o applicazioni sul tuo controller di dominio dopo aver effettuato un backup, non saranno funzionali dopo il ripristino da detto backup poiché lo stato del sistema (incluso il registro) verrà ripristinato a uno stato precedente. Questo è solo un altro motivo per cui si consiglia di eseguire il backup di Active Directory più frequentemente di una volta ogni 60 giorni. Fortemente consigliamo di effettuare il backup del controller di dominio di Active Directory ogni notte.
Usa software che garantisce la coerenza dei dati
Come con qualsiasi altro database, il database di Active Directory deve essere sottoposto a backup in modo che ne sia preservata la coerenza. La coerenza può essere meglio preservata se si effettua il backup del DC Active Directory quando il server è spento o quando si utilizza Microsoft Servizio Copia di ombra del volume (VSS) su una macchina in esecuzione. Effettuare il backup del server Active Directory in stato spento potrebbe non essere una buona idea se il server è operativo in modalità 24/7.
Le procedure consigliate per il backup di Active Directory raccomandano di utilizzare applicazioni di backup compatibili con VSS per eseguire il backup di un server in esecuzione su Active Directory. Gli scrittori VSS creano uno snapshot che blocca lo stato del sistema finché il backup non è completato per prevenire la modifica di file attivi usati da Active Directory durante il processo di backup.
Usa soluzioni di backup che forniscono ripristino granulare
Quando si tratta di ripristinare un Active Directory, è possibile ripristinare l’intero server con Active Directory e tutti i suoi oggetti. Eseguire un ripristino completo può consumare una notevole quantità di tempo, specialmente se il tuo database AD è di dimensioni considerevoli. Se alcuni oggetti di Active Directory vengono eliminati accidentalmente, potresti voler ripristinare solo quegli oggetti e nient’altro. Le procedure consigliate per il backup di Active Directory raccomandano l’uso di metodi di backup e applicazioni capaci di eseguire ripristini granulari, ovvero di ripristinare solo particolari oggetti di Active Directory da un backup. Questo ti consente di limitare il tempo impiegato per il ripristino.
Metodi di Backup Nativi di Active Directory
Microsoft ha sviluppato una serie di strumenti nativi per eseguire il backup di Windows Servers inclusi server che eseguono controller di dominio di Active Directory.
Windows Server Backup
Windows Server Backup è un’utilità fornita da Microsoft con Windows Server 2008 e le versioni successive di Windows Server che ha sostituito l’utilità NTBackup integrata nel Windows Server 2003. Per accedervi, basta abilitare Windows Server Backup nel menu Aggiungi Ruoli e Funzionalità . Windows Server Backup include una nuova interfaccia grafica (GUI) e consente di creare backup incrementali utilizzando VSS. I dati salvati sono archiviati in un file VHD, lo stesso formato di file utilizzato per Microsoft Hyper-V. È possibile montare tali dischi VHD su una macchina virtuale o su una macchina fisica e accedere ai dati salvati. Nota come, a differenza dell’immagine VHD creata da MVMC (Microsoft VM Converter), l’immagine VHD non è avviabile in questo caso. Puoi eseguire il backup dell’intero volume o solo dello stato del sistema usando il comando wbadmin start systemstatebackup. Per esempio:
wbadmin start systemstatebackup --backuptarget:E:
Dovresti selezionare una destinazione di backup diversa dal volume da cui stai eseguendo il backup dei dati e che non sia una cartella condivisa remota.
Quando è il momento di ripristinare, dovresti avviare il controller di dominio in Modalità di ripristino dei servizi directory (DSRM) premendo F8 per aprire le opzioni di avvio avanzate (come faresti entrando in Modalità provvisoria). Quindi dovresti utilizzare il comando wbadmin get versions -backupTarget:path_to_backup machine:name_of_server per selezionare il backup appropriato e iniziare a ripristinare i dati necessari. Puoi anche utilizzare NTDSutil per gestire particolari oggetti Active Directory nella riga di comando durante il ripristino.
I vantaggi dell’utilizzo di Windows Server Backup per il backup di Active Directory sono la convenienza, la capacità VSS e la possibilità di eseguire il backup dell’intero sistema o solo dei componenti di Active Directory.
Gli svantaggi includono la necessità di possedere competenze e conoscenze adeguate per configurare un processo di backup e ripristino.
System Center Data Protection Manager
Microsoft raccomanda di usare il System Center Data Protection Manager (SC DPM) per eseguire il backup dei dati, incluso Active Directory, nell’infrastruttura basata su Windows. SC DPM è una soluzione di backup e ripristino centralizzata di livello enterprise che fa parte del System Center Suite e può essere utilizzata per proteggere il Windows Server, che include servizi come Active Directory. A differenza del Windows Server Backup integrato e gratuito, SC DPM è un software a pagamento che deve essere distribuito separatamente come soluzione complessa. L’installazione può sembrare un po’ impegnativa rispetto a Windows Server Backup. Effettivamente, un agente di backup deve essere installato per garantire che la tua macchina sia completamente protetta.
Le principali funzionalità del System Center Data Protection Manager relative al backup di Active Directory sono:
- Supporto VSS
- Backup incrementale
- Backup su cloud di Microsoft Azure
- Nessun ripristino granulare degli oggetti per Active Directory
L’uso di SC DPM è più pratico quando si ha bisogno di proteggere un elevato numero di macchine Windows, inclusi i server MS Exchange e MS SQL.
Backup del Controller di Dominio Virtuale
I metodi di backup nativi elencati per Active Directory possono essere utilizzati per eseguire il backup dei server Active Directory implementati su server fisici e macchine virtuali. Eseguire controller di dominio su macchine virtuali offre una serie di vantaggi specificamente per le VM come il backup a livello di host, la possibilità di essere ripristinate come VM in esecuzione su diversi server fisici, ecc. Le migliori pratiche di backup di Active Directory raccomandano di utilizzare soluzioni di backup a livello di host quando si effettuano backup dei controller di dominio Active Directory in esecuzione su macchine virtuali a livello di hypervisor.
Conclusione
Active Directory è classificato come una delle applicazioni aziendali più critiche la cui interruzione può causare tempi di inattività per utenti e servizi. Il post di oggi ha spiegato le migliori pratiche di backup di Active Directory per aiutarti a proteggere la tua infrastruttura contro il fallimento di AD. La scelta della soluzione di backup giusta è il punto chiave da portare a casa in questo caso.
NAKIVO Backup & Replication è un backup a livello di host software di backup per VMware e VM Hyper-V in esecuzione Active Directory Domain Controller. Questa soluzione ti consente di eseguire il backup dell’intero VM controller di dominio, anche se la VM è in uno stato di esecuzione rispettando il coerenza con le applicazioni (VSS è utilizzato) oltre a fornire un ripristino immediato degli oggetti AD. Non è richiesto alcun agente. NAKIVO Backup & Replication supporta il ripristino granulare di Active Directory, grazie al quale puoi ripristinare particolari oggetti AD e contenitori senza perdere tempo necessario per un ripristino completo della VM. Naturalmente, è supportato anche il ripristino completo del VM controller di dominio.
