Ahora bien, antes de hablar de Active Directory Forest Recovery, veamos cuáles son los diferentes escenarios de recuperación y cuándo necesitaré cada uno de ellos.

(Nota: si solo te interesa el título, ve directamente al final de la entrada).

La primera y más sencilla es la Recuperación de Objetos.

La recuperación de objetos es el proceso de recuperar uno o varios objetos que han sido eliminados. Esto puede deberse a un error humano, a un error del sistema (por ejemplo, que una solución de gestión de identidades retire por error los privilegios de un usuario) o a una brecha de seguridad, tema al que dedicaremos una sección aparte.

La recuperación de objetos es relativamente fácil, en concreto con la función Papelera de reciclaje introducida por Windows 2008 R2 (más información al respecto aquí: https://technet.microsoft.com/en-us/library/dd379542(v=ws.10).aspx).

La segunda, que tampoco es muy difícil, es la recuperación del servidor.

Imagina que tienes un controlador de dominio, de un total de dos (como mínimo; si no es así, por favor, promociona inmediatamente el segundo), y que este servidor sufre un fallo de hardware. ¿Qué es lo más sencillo que se puede hacer para recuperar un controlador de dominio? Pues simplemente promocionarlo. Dado que no hay diferencia entre un controlador de dominio y otro, recuperar un servidor es tan sencillo como promover ese controlador de dominio específico desde cero. Obviamente, es posible que quieras mantener el mismo nombre y la misma dirección IP, pero, con suerte, dispones de una guía de configuración, por lo que deberías saber cómo configurar un controlador de dominio desde cero.

La tercera sería la Recuperación de Dominios.

Con una recuperación de dominio, se recupera un único dominio de todo un bosque. ¿Cuál podría ser la causa de ello? Bueno, empezando por el error humano, pero normalmente se deben a múltiples fallos de hardware (han desaparecido todos los controladores de dominio de DomainX, o si solo queda uno), eliminaciones masivas en la base de datos o problemas de configuración. La recuperación de un dominio es un tema un poco difícil de explicar en una sola entrada del blog, pero sin duda abordaré el tema de la recuperación de un único dominio en un entorno de bosque en una entrada posterior.

Bueno, ahí es donde las cosas se complican

Recuperación de atributos

Imaginemos que, sin querer, has ejecutado un script que ha modificado y borrado el contenido del atributo «nombre» de todos los usuarios. ¿Cómo lo solucionarías? Bueno, una opción sería recurrir a la recuperación de objetos para todos los usuarios, pero entonces podrías perder algunos cambios, dependiendo de cuándo se realizara la copia de seguridad.

Ahora imaginemos que esto lo hubiera hecho otra persona, por ejemplo, ¿un error en un programa informático o una brecha de seguridad en la organización que permitiera a un atacante alterar tu contenido?

Por el momento no hay una solución perfecta para el problema. Se podrían utilizar instantáneas y tomarlas como referencia, pero trasladar el contenido correcto de la instantánea a la base de datos activa podría convertirse fácilmente en una pesadilla con ldifde (además, detectar las diferencias entre la instantánea y la base de datos activa tampoco es tarea fácil).

Y mi favorito, Active Directory Forest Recovery

Para ello, voy a recurrir al informe técnico de Microsoft sobre la recuperación forestal: https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/ad-forest-recovery-guide.

Y cita el apartado titulado«Cómo decidir cuándo llevar a cabo la recuperación forestal»:

Todos los controladores de dominio se han corrompido lógicamente o se han dañado físicamente hasta el punto de que la continuidad del negocio es imposible; por ejemplo, todas las aplicaciones de negocio que dependen de AD DS no funcionan.

Un administrador deshonesto ha comprometido el entorno de Active Directory.

Un atacante intencionadamente o un administrador accidentalmente ejecuta un script que propaga la corrupción de datos a través del bosque.

Un atacante intencionadamente o un administrador accidentalmente amplía el esquema de Active Directory con cambios maliciosos o conflictivos.

Ninguno de los controladores de dominio puede replicarse con sus socios de replicación.

No se pueden realizar cambios en AD DS en ningún controlador de dominio.

No se pueden instalar nuevos controladores de dominio en ningún dominio.

¿Cómo se hace eso? Pues bien, en las páginas 29 a 54 del informe técnico se describen los pasos detallados necesarios.