Active Directory ist eine sehr robuste Anwendung, wie es sich für einen so grundlegenden Baustein der IT-Infrastruktur eines Unternehmens gehört. Aber die Architektur, die es robust macht, macht es auch schwer zu verstehen. Dieses mangelnde Verständnis führt oft zu Annahmen in Ihrer Wiederherstellungsstrategie, die dazu führen können, dass Ihr AD kaputt ist, ohne dass es einen Weg gibt, wieder zum Normalzustand zurückzukehren.
Wenn das AD-Engineering- und -Operations-Team seinen Wiederherstellungsplan aufstellt, besteht die natürliche Tendenz, zuerst an die Wiederherstellung von Domänencontrollern (DCs) zu denken. Das ist ein guter erster Schritt, der auf zwei sehr praktischen Gründen beruht. Erstens sind die DCs seit jeher die AD-Komponente, die am häufigsten ausfällt. Zweitens ist die Wiederherstellung und der Wiederaufbau von Servern eine der ältesten betrieblichen Aufgaben im Buch der Betriebsabläufe, und so ist es nur natürlich, dass Sie sie auf diese Situation anwenden.
Aber im Fall von Active Directory plant das Team oft nicht für die andere Katastrophenart, die Active Directory treffen kann: die logische Beschädigung von AD-Daten.
Das Netz der Replikation
Die Komplexität des logischen Datenmodells trägt dazu bei, dass es schwierig ist, Active Directory zu verstehen und Probleme im Betrieb zu beheben. Ich habe AD immer durch eine Brille betrachtet, die ich als mehrere Brillen betrachte. Die erste und offensichtlichste ist das Netzwerk der physischen DCs und ihr Zustand. Wir neigen dazu, an die DCs eines Forest zu denken, weil sie die greifbaren Vermögenswerte von Active Directory sind. Die nächste ist meine Sites-Brille. Mit dieser Brille betrachte ich die Site-Topologie des Unternehmensnetzwerks und wie Daten ständig zwischen DCs repliziert werden: Sites mit guter Konnektivität (die einen DC enthalten können oder auch nicht), Site-Links, um die Sites so zu verbinden, dass sie den Anforderungen der Benutzer und Anwendungen, die AD-Sites verwenden, am besten entsprechen, und die Feinabstimmung dieser Site-Links mit Link-Kosten und DNS-Priorität, um einige DCs gegenüber anderen zu bevorzugen.
Aber die Realität ist komplizierter als ein Diagramm der Site-Architektur. Wenn Sie sich die Replikation mit einem Tool wie ADREPLSTATUS oder Repadmin genauer ansehen, wird die wahre Komplexität von Active Directory deutlich. Jeder DC beherbergt mehrere Verzeichnispartitionen, die wichtige Daten enthalten, und verschiedene Forest Designs beeinflussen, welche Partitionen ein DC beherbergt. Jede dieser Partitionen ist mit mehreren anderen DCs an anderer Stelle in der Domäne oder im Forest verbunden. Ich stelle mir das wie einen Strang aus Hunderten von bunten Fäden vor, die die Pflöcke in einer Stecktafel verbinden. Einige Farben des Fadens gehen nur zu einigen wenigen Pflöcken, während andere Farben zu allen Pflöcken auf dem Brett gehen. Es ist ein Wunder, dass es überhaupt funktioniert, geschweige denn, dass es so gut funktioniert.
Aber dieser Mechanismus funktioniert für schlechte Daten genauso gut wie für gute Daten. Im Falle einer logischen Datenbeschädigung werden die beschädigten Daten über alle DCs in der Domäne oder im Forest repliziert. In Fällen, in denen die logische Beschädigung schwerwiegend ist (z.B. Deaktivierung des DC-Kontos in AD über die Standardkonsole Users and Computes), muss eine Notfallwiederherstellung von AD durchgeführt werden. Der Wiederherstellungsprozess von Microsoft umfasst mehr als 50 manuelle Schritte, was ihn langsam, fehleranfällig und für die Anforderungen von Unternehmen unzureichend macht. Die Komplexität des Verfahrens ist so hoch, dass Microsoft es im Rahmen des ADRES (AD Recovery Execution Service) anbietet, einem 5-tägigen Serviceeinsatz, der sich auf AD-Wiederherstellungsprobleme konzentriert.
Viele Unternehmen haben Disaster Recovery Sites in Active Directory implementiert, um Failover-DCs für Benutzer und Dienste bereitzustellen, wenn der normale DC ausgefallen ist. DR-Sites oder die Anzahl der DCs, die Sie haben, helfen Ihnen im Falle einer logischen Beschädigung jedoch nicht - sie machen die Wiederherstellung sogar noch komplizierter.
Hier können Sie entweder ein manuelles Verfahren anwenden oder eine automatisierte Lösung verwenden, die dies für Sie erledigt.
