Antes de falarmos sobre Active Directory Forest Recovery, vamos ver quais são os diferentes cenários de recuperação e em que situações cada um deles é necessário?

(Nota: se só está aqui pelo título, vá diretamente para o final da publicação).

A primeira e mais fácil é a recuperação de objectos.

A recuperação de objetos é o processo de recuperar um objeto (ou objetos) que foi eliminado. Isto pode resultar de um erro humano, de um erro do sistema (uma solução de gestão de identidades que, por engano, retira os direitos de acesso a um utilizador) ou de uma falha de segurança, à qual dedicaremos uma secção separada.

A recuperação de objectos é relativamente fácil, especificamente com a funcionalidade da Reciclagem introduzida no Windows 2008 R2 (mais sobre isto aqui: https://technet.microsoft.com/en-us/library/dd379542(v=ws.10).aspx).

A segunda, que também não é muito difícil, é a recuperação do servidor.

Imagina que tens um controlador de domínio, de um total de dois (pelo menos; caso contrário , promove imediatamente o segundo), e que este servidor sofre uma falha de hardware. Qual é a forma mais fácil de recuperar um CD? Bem, basta promovê-lo! Como não há diferença entre um DC e outro, recuperar um servidor é tão simples quanto promover esse controlador de domínio específico a partir do zero. Obviamente, poderá querer manter o mesmo nome e o endereço IP, mas esperamos que tenha um guia de configuração, pelo que deve saber como configurar um DC a partir do zero.

A terceira seria a recuperação de domínios.

Com uma recuperação de domínio, está a recuperar um único domínio numa floresta inteira. Qual poderá ser a causa disso? Bem, a começar por erros humanos, mas normalmente são causados por múltiplas falhas de hardware (todos os DCs no Domínio X desapareceram, ou se houver apenas um), eliminações em massa na base de dados ou problemas de configuração. A recuperação de domínio é um pouco difícil de explicar numa única publicação de blogue, mas certamente abordarei o tema da recuperação de um único domínio num ambiente de floresta numa publicação posterior.

É aí que as coisas começam a complicar-se

Recuperação de atributos

Imaginemos que, acidentalmente, executou um script que alterou o conteúdo do atributo «nome próprio» de todos os utilizadores. Como recuperaria dessa situação? Bem, uma opção seria recorrer à recuperação de objetos para todos os utilizadores, mas, nesse caso, poder-se-iam perder algumas alterações, dependendo da data em que o backup foi feito.

Agora, imaginemos que isto tivesse sido feito por outra pessoa, como um bug num software, ou que uma falha de segurança na organização tivesse permitido que um invasor alterasse o seu conteúdo??

De momento, não existe uma solução perfeita para o problema. Poderia utilizar instantâneos e usá-los como referência, mas transferir o conteúdo correto do instantâneo para a base de dados ativa poderia facilmente tornar-se um pesadelo com o ldifde (além disso, identificar as diferenças entre o instantâneo e a base de dados ativa também não é tarefa fácil).

E o meu favorito, o Active Directory Forest Recovery

Para tal, vou recorrer ao documento técnico sobre a recuperação florestal da Microsoft: https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/ad-forest-recovery-guide.

E cite a secção intitulada«Decidir quando realizar a recuperação florestal»:

Todos os controladores de domínio foram logicamente corrompidos ou fisicamente danificados a um ponto em que a continuidade do negócio é impossível; por exemplo, todas as aplicações empresariais que dependem do AD DS não funcionam.

Um administrador desonesto comprometeu o ambiente do Active Directory.

Um atacante intencionalmente ou um administrador executa acidentalmente um script que espalha a corrupção de dados pela floresta.

Um atacante intencionalmente ou um administrador acidentalmente estende o esquema do Active Directory com alterações maliciosas ou conflituosas.

Nenhum dos controladores de domínio pode replicar com os seus parceiros de replicação.

Não podem ser efectuadas alterações ao AD DS em nenhum controlador de domínio.

Os novos controladores de domínio não podem ser instalados em nenhum domínio.

Como se faz isso? Bem, isso está nas páginas 29 a 54 do documento técnico, onde são descritos os passos detalhados necessários.