Bevor wir nun über „ Active Directory Forest Recovery “ sprechen, wollen wir zunächst einen Blick darauf werfen, welche verschiedenen Wiederherstellungsszenarien es gibt und wann ich welches davon benötige.
(Hinweis: Falls Sie nur wegen des Titels hier sind, scrollen Sie bitte zum Ende des Beitrags.)
Die erste und einfachste ist Object Recovery.
Unter „Objektwiederherstellung“ versteht man den Vorgang der Wiederherstellung eines Objekts (oder mehrerer Objekte), das bzw. die gelöscht wurde(n). Dies kann auf menschliches Versagen, einen Systemfehler (die Identitätsmanagement-Lösung hebt versehentlich die Berechtigungen eines Benutzers auf) oder eine Sicherheitsverletzung zurückzuführen sein, auf die wir in einem separaten Abschnitt eingehen werden.
Die Wiederherstellung von Objekten ist relativ einfach, insbesondere mit der in Windows 2008 R2 eingeführten Papierkorb-Funktion (mehr dazu hier: https://technet.microsoft.com/en-us/library/dd379542(v=ws.10).aspx).
Der zweite Punkt, der ebenfalls nicht besonders schwierig ist, ist die Serverwiederherstellung.
Angenommen, Sie verfügen über einen Domain Controller von insgesamt zwei (zumindest sollte dies der Fall sein; falls nicht , ernennen Sie bitte umgehend den zweiten), und dieser Server ist von einem Hardwareausfall betroffen. Was ist der einfachste Weg, um einen Domänencontroller wiederherzustellen? Ganz einfach: Ernennen Sie ihn! Da es keinen Unterschied zwischen den einzelnen Domänencontrollern gibt, ist die Wiederherstellung eines Servers so einfach wie die Einrichtung dieses bestimmten domain controller von Grund auf. Natürlich möchten Sie vielleicht denselben Namen und dieselbe IP-Adresse beibehalten, aber hoffentlich verfügen Sie über eine Einrichtungsanleitung, sodass Sie wissen sollten, wie man einen Domänencontroller von Grund auf einrichtet.
Die dritte wäre die Domain Recovery.
Bei einer Domänenwiederherstellung stellen Sie eine einzelne Domäne innerhalb einer gesamten Gesamtstruktur wieder her. Was könnte die Ursache dafür sein? Nun, angefangen bei menschlichen Fehlern, doch in der Regel werden solche Vorfälle durch mehrere Hardwareausfälle (alle Domänencontroller in Domäne X sind ausgefallen oder es ist nur noch einer vorhanden), Massenlöschungen in der Datenbank oder Konfigurationsprobleme verursacht. Die Domänenwiederherstellung lässt sich in einem einzigen Blogbeitrag nur schwer erläutern, doch ich werde das Thema der Wiederherstellung einer einzelnen Domäne in einer Forest-Umgebung sicherlich in einem späteren Beitrag behandeln.
Nun, genau an dieser Stelle wird die Sache kompliziert
Attribut Wiederherstellung
Stellen wir uns vor, Sie hätten versehentlich ein Skript ausgeführt, das den Inhalt des Attributs „Vorname“ aller Benutzer geändert oder gelöscht hat. Wie würden Sie diesen Fehler beheben? Nun, Sie könnten entweder eine Objektwiederherstellung für alle Benutzer durchführen, doch dabei könnten Ihnen Änderungen entgehen, je nachdem, wann die Sicherung erstellt wurde.
Stellen wir uns nun einmal vor, dies wäre von jemand anderem verursacht worden – etwa durch einen Fehler in einer Software oder durch eine Sicherheitslücke in Ihrem Unternehmen, die es einem Angreifer ermöglicht hätte, Ihre Inhalte zu verfälschen??
Derzeit gibt es keine perfekte Lösung für dieses Problem. Sie könnten Snapshots verwenden und diese als Referenz heranziehen, doch die Übertragung der richtigen Inhalte aus dem Snapshot in die Live-Datenbank könnte leicht zu einem LDIFDE-Albtraum werden (außerdem ist es keine leichte Aufgabe, die Unterschiede zwischen Snapshot und Live-Datenbank zu ermitteln).
Und mein Favorit: Active Directory Forest Recovery
Dazu möchte ich auf das Whitepaper „Forest Recovery“ von Microsoft verweisen: https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/ad-forest-recovery-guide.
Und zitieren Sie den Abschnitt mit dem Titel„Entscheidung über den Zeitpunkt der Waldsanierung“:
Alle Domänencontroller wurden logisch beschädigt oder physisch so stark beschädigt, dass die Kontinuität des Geschäftsbetriebs nicht mehr möglich ist. So sind beispielsweise alle Geschäftsanwendungen, die von AD DS abhängen, nicht mehr funktionsfähig.
Ein abtrünniger Administrator hat die Active Directory-Umgebung kompromittiert.
Ein Angreifer führt absichtlich oder ein Administrator versehentlich ein Skript aus, das eine Datenbeschädigung im gesamten Forest verbreitet.
Ein Angreifer erweitert absichtlich oder ein Administrator versehentlich das Active Directory-Schema mit bösartigen oder widersprüchlichen Änderungen.
Keiner der Domänencontroller kann mit seinen Replikationspartnern replizieren.
Änderungen an AD DS können nicht auf jedem beliebigen domain controller vorgenommen werden.
Neue Domänencontroller können in keiner Domäne installiert werden.
Wie geht das? Nun, auf den Seiten 29 bis 54 des Whitepapers werden die erforderlichen Schritte im Detail beschrieben.
