Active Directory のバックアップに関するベストプラクティス
Active Directory は、Windows ベースの環境における一元管理およびユーザー認証のための、広く知られたサービスです。管理者は、ドメインに追加されたコンピュータを一元的に管理できるため、大規模で分散したインフラストラクチャにおいて利便性が高く、時間の節約にもつながります。通常、MS SQL や MS Exchange では Active Directory が必要です。Active Directory ドメイン コントローラー (AD DC) が利用できなくなると、関連するユーザーはログインできなくなり、システムが正常に機能しなくなるため、環境に支障をきたす可能性があります。 そのため、Active Directoryのバックアップは重要です。
このブログ記事では、 Active Directoryのバックアップ 効果的な手法やツールを含むベストプラクティスについて解説しています。
Active Directoryの動作原理
Active Directoryは、個々のオブジェクトとトランザクションログが保存されるデータベースで構成される管理システムです。データベースは、スキーマパーティション(オブジェクトクラスとその属性を含むADデータベースの設計を決定する)や、構成パーティション(AD構造に関する情報)、ドメイン名コンテキスト(ユーザー、グループ、プリンタオブジェクト)を含むいくつかのセクションに分かれています。Active Directoryデータベースは階層的なツリー構造を持っています。 Ntds.dit ファイルはADデータベースを保存するために使用されます。
Active Directoryは、ネットワーク上でLDAPとKerberosプロトコルを使用します。LDAP(軽量ディレクトリアクセスプロトコル)は、ディレクトリ(Active Directoryのような)にアクセスするために使用されるクロスプラットフォームなオープンプロトコルで、ユーザー名とパスワードを使用してディレクトリサービス認証へのアクセスも行います。Kerberosは、秘密鍵暗号を使用する安全な認証およびシングルサインオンプロトコルです。ユーザー名とパスワードは、Kerberos認証サーバーによって確認され(Active Directory使用時)、LDAPディレクトリに保存されます。
Active Directoryは、DNSサーバー、Windows保護済みシステムファイル、ドメインコントローラーのシステムレジストリ、さらにSysvolディレクトリ、COM+クラス登録データベース、およびクラスタサービス情報と緊密に統合されています。このような統合は、Active Directoryのバックアップ戦略に直接影響を与えます。
どのデータをバックアップする必要がありますか？
前のセクションに従い、 Ntds.dit だけでなく、Active Directoryと統合されているすべてのコンポーネントのコピーを作成する必要があります。ドメインコントローラーシステムの不可欠なコンポーネントのリストは次のとおりです:
- Active Directoryドメインサービス
- ドメインコントローラーシステムレジストリ
- Sysvol ディレクトリ
- COM+クラス登録データベース
- Active Directoryと統合されたDNSゾーン情報
- システムファイルとブートファイル
- クラスタサービス情報
- 証明書サービスデータベース(ドメインコントローラーが証明書サービスサーバーである場合)
- IISメタフォルダー(Microsoft Internet Information Servicesがドメインコントローラーにインストールされている場合)
一般的なADバックアップの推奨事項
Active Directoryバックアップに関する一般的な推奨事項を見ていきましょう。
ドメイン内の少なくとも1つのドメインコントローラーをバックアップする必要があります
インフラストラクチャに1つだけドメインコントローラーがある場合、このDCをバックアップすることが重要です。ドメインコントローラーが複数ある場合、 少なくとも 1つをバックアップする必要があります。FSMO(フレキシブルシングルマスター操作)ロールがインストールされているドメインコントローラーをバックアップするべきです。すべてのドメインコントローラーを失った場合、FSMOロールを持つプライマリドメインコントローラーを復旧し、セカンダリドメインコントローラーを新しく展開し、プライマリDCからセカンダリDCに変更をレプリケートすることができます。
ディザスタリカバリ計画内にActive Directoryバックアップを含める
仮想的な災害を想定してインフラストラクチャを復旧するためのシナリオを用意し、ディザスタリカバリ(DR)計画を作成します。ベストプラクティスは災害が発生する前に詳細なDR計画を立てることです。復旧の順序に注目してください。Active Directory関連のサービスを持つ他のマシンを復旧する前に、ドメインコントローラーを復旧する必要があることに留意してください。さもないと、AD DCなしではこれらのサービスが無用になってしまうかもしれません。異なるマシンで実行されているさまざまなサービスの依存関係を考慮に入れた実行可能な計画 災害復旧計画 を立てることにより、成功した復旧を保証します。ドメインコントローラーをローカルサイト、リモートサイト、クラウドにバックアップできます。Active Directoryバックアップのベストプラクティスの1つは、3-2-1バックアップルールに従ってドメインコントローラーのコピーを複数持つことです。
Active Directoryを定期的にバックアップする
Active Directoryを定期的にバックアップし、60日を超えない間隔で行う必要があります。ADサービスではActive Directoryバックアップの期間がADトゥームストーンオブジェクトの寿命以上であってはならないと想定しています。デフォルトでは60日です。これは、Active Directoryはオブジェクトを削除する際にトゥームストーンオブジェクトを使用するからです。ADオブジェクトが削除されると(そのオブジェクトの属性の大半が削除されます)、それはトゥームストーンオブジェクトとマークされ、その寿命期間が満了するまで物理的に削除されることはありません。
インフラストラクチャ内に複数のドメインコントローラーがあり、Active Directoryのレプリケーションが有効になっている場合、トゥームストーンオブジェクトはその寿命が切れるまで各ドメインコントローラーにコピーされます。 ドメイン コントローラーの 1 つを、トゥームストーンの有効期間よりも古いバックアップから復元すると、Active Directory ドメイン コントローラー間で情報の不整合が発生します。この場合、復元されたドメイン コントローラーには、もはや存在しないオブジェクトに関する情報が保持されたままになります。その結果、エラーが発生する可能性があります。
バックアップ作成後にドメイン コントローラーにドライバーやアプリケーションをインストールした場合、システム状態(レジストリを含む)が以前の状態に復元されるため、そのバックアップからの復元後はそれらが機能しなくなります。これは、Active Directory のバックアップを 60 日に 1 回以上の頻度で行うべきもう 1 つの理由です。Active Directory ドメイン コントローラーは毎晩バックアップすることを強く推奨します。
データの整合性を確保するソフトウェアを使用する
他のデータベースと同様に、Active Directory データベースも、データベースの整合性が維持される方法でバックアップする必要があります。整合性を最も確実に維持するには、サーバーの電源を切った状態で AD DC データをバックアップするか、稼働中のマシンで Microsoft ボリューム・シャドウ・コピー・サービス (VSS) を使用します。ただし、サーバーが 24 時間 365 日の稼働モードで動作している場合、電源を切った状態で Active Directory サーバーをバックアップするのは適切ではない可能性があります。
Active Directoryのバックアップに関するベストプラクティスでは、Active Directoryを実行しているサーバーのバックアップには、VSS互換のバックアップアプリケーションを使用することが推奨されています。VSSライターはスナップショットを作成し、バックアップが完了するまでシステムの状態を凍結することで、バックアップ処理中にActive Directoryが使用するアクティブなファイルが変更されるのを防ぎます。
細粒度復元機能を備えたバックアップソリューションを使用してください
Active Directory を復元する場合、Active Directory およびそのすべてのオブジェクトを含むサーバー全体を復元することも可能です。特に AD データベースのサイズがかなり大きい場合、完全復元を実行すると多大な時間を要することがあります。Active Directory オブジェクトの一部が誤って削除された場合は、それらのオブジェクトのみを復元し、それ以外は復元しないようにしたい場合があります。 Active Directoryのバックアップに関するベストプラクティスでは、粒度の高い復元、つまりバックアップから特定のActive Directoryオブジェクトのみを復元できるバックアップ手法やアプリケーションの使用が推奨されています。これにより、復元に要する時間を最小限に抑えることができます。
Active Directoryのネイティブバックアップ手法
Microsoftは、Active Directoryドメインコントローラーを実行しているサーバーを含むWindows Serverをバックアップするための一連のネイティブツールを開発しています。
Windows Server バックアップ
Windows Server バックアップはマイクロソフトが提供しているWindows Server 2008以降、およびその後のWindows Serverバージョンに含まれているユーティリティです。これは Windows Server 2003に組み込まれていたNTBackupユーティリティを置き換えるものです。アクセスするには、役割と機能の追加メニューからWindows Server バックアップを有効にするだけです。Windows Server バックアップは新しいグラフィカルユーザーインターフェース(GUI)を備えており、VSSを使用して増分バックアップを作成できます。バックアップされたデータはVHDファイルに保存されます。これは、マイクロソフト ハイパーVと同じファイル形式です。このようなVHDディスクを仮想マシンまたは物理マシンにマウントして、バックアップデータにアクセスすることができます。MVMC(Microsoft 仮想マシン コンバーター)で作成されたVHDとは異なり、この場合、VHDイメージ自体はブート可能ではないことに注意してください。全体のボリュームまたはシステム状態のみをwbadmin start systemstatebackupコマンドを使用してバックアップすることができます。例:
wbadmin start systemstatebackup --backuptarget:E:
データをバックアップしているボリュームとは異なるバックアップターゲットを選択し、リモート共有フォルダではないものにする必要があります。
復旧の時が来たら、ディレクトリ サービス復元モード(DSRM)にドメイン コントローラをF8を押して(安全モードに入る場合のように)起動し、高度な起動オプションを開いてください。その後、wbadmin get versions -backupTarget:path_to_backup machine:name_of_serverコマンドを使用して適切なバックアップを選択し、必要なデータの復旧を開始します。また、NTDSutilを使用してコマンドライン上で特定のActive Directoryオブジェクトを管理することもできます。
Windows ServerバックアップをActive Directoryバックアップとして使用する利点は、手頃な価格、VSS機能、システム全体またはActive Directoryコンポーネントのみをバックアップする能力です。
欠点は、バックアップと復旧プロセスを設定するために適切なスキルと知識ベースを持っている必要があることです。
システムセンターデータ保護マネージャー
マイクロソフトはWindowsベースのインフラストラクチャにおけるActive Directoryを含むデータバックアップにシステムセンターデータ保護マネージャー(SC DPM)を使用することを推奨しています。SC DPMはシステムセンター スイートに含まれている中央集権型のエンタープライズグレードバックアップおよび復旧ソリューションであり、Active Directoryなどのサービスを含むWindows Serverを保護するために使用することができます。無料の組み込みのWindows Server バックアップとは異なり、SC DPMは個別に配備する必要がある有料ソフトウェアです。インストールはWindows Server バックアップと比較すると、いくらか難しいと思われるかもしれません。 確かに、マシンを完全に保護するためには、バックアップエージェントをインストールする必要があります。
システムセンター データ保護マネージャーのActive Directory関係の主な機能は次のとおりです:
- VSS サポート
- インクリメンタルバックアップ
- Microsoft Azureクラウドへのバックアップ
- Active Directoryの細かいオブジェクト復旧がありません
SC DPM を使用するのは、特にMS ExchangeやMS SWLサーバーを含む多くのWindowsマシンを保護する必要がある場合に最も実用的です。
バーチャルドメインコントローラーのバックアップ
リストされたネイティブのActive Directoryバックアップ方法は、物理サーバーと仮想マシンの両方に展開されているActive Directoryサーバーのバックアップに使用できます。仮想マシン上でドメインコントローラーを実行することは、ホストレベルのバックアップや異なる物理サーバー上で実行されているVMとして復旧できる能力など、特にVMに対して利点のセットを提供します。Active Directoryバックアップのベストプラクティスでは、ハイパーバイザーレベルで仮想マシン上で実行されているActive Directoryドメインコントローラーのバックアップを行う際には、ホストレベルのバックアップソリューションを使用することを推奨します。
結論
Active Directoryは、ビジネスクリティカルアプリケーションの1つに分類され、障害が生じるとユーザーやサービスのダウンタイムを引き起こす可能性があります。 今日のブログ投稿では、ADの障害からインフラストラクチャを保護するためのActive Directoryバックアップのベストプラクティスを説明しました。この場合、適切なバックアップソリューションの選択が重要なポイントです。
NAKIVO Backup & Replication は、Active Directory ドメイン コントローラーを実行している VMware および Hyper-V の仮想マシン向けのホストレベルのVMware用バックアップソフトウェアです。このソリューションでは、VMが稼働中であっても、アプリケーションの認識した上で(VSSを使用)、ドメインコントローラーVM全体をバックアップできるほか、ADオブジェクトの即時復旧も可能になります。また、即座にADオブジェクトを復旧する機能も提供します。必要なエージェントはありません。NAKIVO Backup & Replication は、特定のADオブジェクトやコンテナを完全なVM復旧に必要な時間を費やさずに復旧できるため、詳細なActive Directory復旧をサポートしています。もちろん、ドメインコントローラーVMの完全復旧もサポートされています。
