Sean Deuby

Si quieres incomodar a un administrador de Active Directory, pregúntale por su plan de recuperación.

Al hacer esta pregunta, muchos administradores de AD le hablarán de su plan de recuperación de objetos. Algunos describirán sus procedimientos de recuperación de controladores de dominio. Pero si se les pregunta si han creado un plan para recuperar un dominio o un bosque, menos de uno de cada diez lo admitirá. Y muchos menos dirán que lo han probado.

¿Por qué tan pocas organizaciones elaboran y ponen a prueba un plan de recuperación en caso de catástrofe para lo que sin duda es una de las piezas de fontanería de software más críticas de una empresa?

Hay dos razones principales. En primer lugar, AD es muy fiable como servicio de infraestructura central. Es una aplicación distribuida en múltiples instancias, y los fallos de una o más de estas instancias no impedirán que el servicio continúe. En un bosque AD correctamente mantenido, el fallo de un dominio o bosque (sin interferencias externas) es un hecho poco frecuente.

A esta falta de planificación de la recuperación ante desastres se suma el hecho de que, si se produce una catástrofe en Active Directory (la pérdida de un dominio o un bosque), la recuperación es una tarea nada trivial. La publicación de Microsoft Planificación para Active Directory Forest Recovery de Microsoft tiene 47 páginas y está lejos de ser un procedimiento operativo. Es un procedimiento de alto nivel y un conjunto de directrices que debe personalizar ampliamente para su entorno. Puede juzgar la seriedad de este documento a partir del reconocimiento de que asume -incluso antes de comenzar cualquier cosa descrita en él- que ha estado hablando con el soporte de Microsoft para determinar la causa raíz y proporcionar asesoramiento sobre si debe proceder.

No deje que estos obstáculos le disuadan. Permíteme ser claro: si no creas, pruebas y mantienes un plan de recuperación ante desastres de Active Directory, no estás haciendo tu trabajo. Si todavía dudas, imagínate que te llaman a una lujosa sala de conferencias después de un evento de recuperación ante desastres, donde tu jefe y todos los jefes hasta el director de sistemas te preguntarán por qué no planificaste esta contingencia. Es el clásico "evento generador de currículum".

A alto nivel, la recuperación de dominios o bosques tiene los siguientes pasos:

  1. Averigüe qué causó la ruptura de AD. Si no sabe por qué se rompió, no podrá realizar el siguiente paso y no tendrá más remedio que reconstruir o recuperar su bosque desde cero. La mayoría de las empresas nunca se recuperan de esto.
  2. Averigüe una fecha de copia de seguridad de la que se pueda recuperar AD (antes de que se rompiera). Punto clave: Si no tienes una buena estrategia y proceso de copia de seguridad, estás atrapado en el escenario de reconstrucción.
  3. Recupere un dominio o bosque "semilla" de un DC por cada dominio, en una red aislada.
  4. Conecte la semilla a la red y recupere los DC existentes en la semilla.

Este proceso de alto nivel requiere mucho trabajo. Enciérrate en una habitación y reflexiona; imagínate trabajando en este escenario en el mundo real. También hay muchas trampas en el proceso de recuperación. Por ejemplo, cuando conecte el bosque semilla a la red corporativa, deberá mantenerlo aislado de los usuarios mientras aumenta su capacidad. De lo contrario, los DC del bosque semilla se fundirán y no podrás añadir otros, ya que todos los usuarios de la empresa intentarán conectarse a la red.

Una vez que hayas personalizado el procedimiento en el documento, debes construir un laboratorio de pruebas razonablemente sofisticado y probar tu procedimiento para perfeccionarlo y descubrir otras áreas problemáticas en las que no habrás pensado en el proceso de planificación. Se trata de un proyecto que lleva semanas de trabajo. Es una tarea tan ardua que Microsoft la ofrece como parte de ADRES (AD Recovery Execution Service), un servicio de 5 días que se centra en los problemas de recuperación de AD.

Así que sí, la planificación de la recuperación ante desastres de Active Directory es una tarea de enormes proporciones. Pero debe hacerlo. Si eres director de TI, pregunta a tu equipo de AD si tienen un plan de recuperación. Si les pillas fuera, ayúdales a financiarlo o a darle prioridad. Me gusta pensar en la AD DR de la misma manera que pensamos en un seguro: Uno espera no necesitarlo nunca, y la mayoría no lo necesita. Pero si lo necesitas, lo necesitas de verdad .