Active Directory.pdf - Gattner

Sichern von Active Directory 581
Anstatt die gesamte Active Directory-Datenbank zu replizieren, verwendet das IFM-Feature eine wiederhergestellte
Active Directory-Kopie als Ausgangspunkt für die Replikation auf neuen Domänencontrollern.
Dies ist besonders für Server in Zweigstellen mit einer niedrigen Breitbandverbindung
sinnvoll. Der Sicherungssatz für das IFM-Feature wird nicht über die Windows Server-Sicherung oder
Wbadmin.exe, sondern über Ntdsutil erstellt.
Hinweis Mitglieder der Gruppen Administratoren und Sicherungs-Operatoren verfügen über die erforderlichen
Rechte zur Durchführung einer manuellen Sicherung. Eine geplante Sicherung können ausschließlich
Mitglieder der Gruppe Administratoren durchführen, da diese über die erforderlichen Rechte verfügen. Diese
Rechte können nicht delegiert werden.
Notwendigkeit von Sicherungen
Das Standardverfahren bei der Sicherung von Active Directory ist die Replikation auf einem zweiten
Domänencontroller. Beim Ausfall eines Domänencontrollers in einer Domäne verfügen die anderen
Domänencontroller über dieselben Informationen und können die Aufgabe der Clientanmeldung oder
eine Verarbeitung von Clientanforderungen übernehmen. Aus diesem Grund sollten stets mindestens
zwei Domänencontroller pro Domäne vorhanden sein.
Obwohl die Domäneninformationen zwischen Domänencontrollern repliziert werden, sollte ein Domänencontroller
dennoch regelmäßig gesichert werden. In folgenden Fällen kann das Wiederherstellen
von vorhandenen Domänencontrollern oder Active Directory erforderlich sein:
• Anwendungen sind so konfiguriert, dass diese einen bestimmten Domänencontroller verwenden Einige
Anwendungen sind so konfiguriert, dass diese für den Zugriff auf Active Directory einen
bestimmten Domänencontroller verwenden. In einem solchen Fall wird durch das Wiederherstellen
eines Domänencontrollers die Neukonfiguration der Anwendung vermieden.
• Alle Domänencontroller einer Domäne sind ausgefallen Falls es zu einer größeren Katastrophe
kommt, z.B. zu einem Feuer im Gebäude, können alle Domänencontroller einer Domäne ausfallen.
In diesem Fall muss Active Directory über eine Sicherung wiederhergestellt werden.
• Objekte werden gelöscht Falls Active Directory-Objekte versehentlich gelöscht werden, können
die gelöschten Objekte über eine Sicherung wiederhergestellt werden. Abhängig von der Anzahl
an Objekten ist diese Vorgehensweise möglicherweise schneller als das erneute Erstellen der
Objekte.
Tombstone-Ablaufzeit
Die Tombstone-Ablaufzeit legt fest, wie lange ein gelöschtes Objekt in Active Directory gespeichert
wird. Wie bereits in Kapitel 14, „Überwachen und Warten von Active Directory“, beschrieben, wird
ein Active Directory-Objekt nach dem Löschen nicht aus Active Directory entfernt. Das Objekt wird
stattdessen als gelöscht gekennzeichnet, die meisten Attribute werden entfernt, das Objekt wird
umbenannt und schließlich in den Container Gelöschte Objekte verschoben. Anschließend wird dieses
Objekt als Tombstone bezeichnet. Diese Änderungen werden auf alle anderen Domänencontroller
repliziert, und der Tombstone wird erst nach der Tombstone-Ablaufzeit aus Active Directory entfernt.
Eine Sicherung ist nur für die Dauer der in Active Directory festgelegten Tombstone-Ablaufzeit gültig.
Nach der Tombstone-Ablaufzeit ist eine Wiederherstellung von Active Directory-Sicherungen nicht
mehr möglich. Auf diese Weise wird sichergestellt, dass nicht autorisierende Wiederherstellungen von
Active Directory wie erwartet funktionieren.