Ora, prima di parlare di Active Directory Forest Recovery, proviamo a dare un’occhiata a quali sono i diversi scenari di ripristino e in quali casi è necessario ricorrere a ciascuno di essi.

(Nota: se sei qui solo per il titolo, scorri fino alla fine del post).

Il primo e il più semplice è il recupero degli oggetti.

Il recupero degli oggetti è il processo che consente di recuperare uno o più oggetti che sono stati eliminati. Ciò può essere dovuto a un errore umano, a un errore del sistema (ad esempio, quando una soluzione di gestione delle identità revoca erroneamente i diritti di accesso a un utente) o a una violazione della sicurezza, argomento al quale dedicheremo una sezione a parte.

Il recupero degli oggetti è relativamente facile, in particolare con la funzione Cestino introdotta da Windows 2008 R2 (per saperne di più: https://technet.microsoft.com/en-us/library/dd379542(v=ws.10).aspx).

Il secondo, che non è nemmeno molto difficile, è il ripristino del server.

Supponiamo di avere un controller di dominio su due (almeno; in caso contrario , si prega di promuovere immediatamente il secondo) e che questo server subisca un guasto hardware. Qual è la soluzione più semplice per ripristinare un controller di dominio? Beh, basta promuoverlo! Poiché non c'è alcuna differenza tra un controller di dominio e l'altro, ripristinare un server è semplice come promuovere da zero quel specifico controller di dominio. Ovviamente potresti voler mantenere lo stesso nome e lo stesso indirizzo IP, ma speriamo che tu abbia a disposizione una guida alla configurazione, così dovresti sapere come configurare un controller di dominio da zero.

Il terzo è il recupero del dominio.

Con un "Domain Recovery" si ripristina un singolo dominio all'interno di un'intera foresta. Quale potrebbe essere la causa? Beh, a partire da un errore umano, ma solitamente tali problemi sono causati da guasti hardware multipli (tutti i DC nel Dominio X sono fuori uso, o se ne è rimasto solo uno), cancellazioni di massa nel database o problemi di configurazione. Il recupero del dominio è un argomento un po’ difficile da spiegare in un singolo post sul blog, ma tratterò sicuramente il tema del recupero di un singolo dominio in un ambiente di foresta in un post successivo.

Ecco, è proprio qui che le cose si complicano

Recupero degli attributi

Immaginiamo che tu abbia eseguito per sbaglio uno script che ha modificato o cancellato il contenuto dell'attributo "nome" di tutti gli utenti. Come potresti risolvere il problema? Beh, potresti ricorrere al recupero degli oggetti per tutti gli utenti, ma in tal caso potresti perdere alcune modifiche, a seconda di quando è stato effettuato il backup.

Ora immaginiamo che ciò sia stato causato da qualcun altro, ad esempio da un bug in un software, oppure che una falla nella sicurezza dell'organizzazione abbia permesso a un malintenzionato di alterare i tuoi contenuti??

Al momento non esiste una soluzione perfetta al problema. Si potrebbero utilizzare gli snapshot e usarli come riferimento, ma trasferire i contenuti corretti dallo snapshot al database attivo potrebbe facilmente trasformarsi in un incubo con ldifde (inoltre, individuare le differenze tra lo snapshot e il database attivo non è affatto un compito facile).

E il mio preferito: Active Directory Forest Recovery

A tal proposito, farò riferimento al white paper di Microsoft intitolato “Forest Recovery”: https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/ad-forest-recovery-guide.

E cito la sezione intitolata“Come decidere quando intervenire per il ripristino forestale”:

Tutti i controller di dominio sono stati danneggiati logicamente o fisicamente al punto da rendere impossibile la continuità aziendale; ad esempio, tutte le applicazioni aziendali che dipendono da AD DS non funzionano.

Un amministratore disonesto ha compromesso l'ambiente Active Directory.

Un attaccante esegue intenzionalmente o un amministratore esegue accidentalmente uno script che diffonde la corruzione dei dati nella foresta.

Un utente malintenzionato o un amministratore estende accidentalmente lo schema di Active Directory con modifiche dannose o in conflitto.

Nessuno dei controller di dominio può replicare con i propri partner di replica.

Non è possibile apportare modifiche ad AD DS in qualsiasi controller di dominio.

I nuovi controller di dominio non possono essere installati in nessun dominio.

Come si fa? Beh, alle pagine 29-54 del white paper sono descritti in dettaglio i passaggi necessari.