Как правильно снять бекап с контроллера домена?

Question

[Вася Пупкин]

Достаточно ли будет встроенной резервной копии, которая делается архивацией виндовс, чтобы потом установить "голую" винду и восстановить из бекапа?
Или контроллер бекапируют по другому? Есть ли какой то чек-лист?

Comments

[Alexey Dmitriev]

Это выглядит как задание, а не вопрос,а значит - нарушение правил.

[ALLIGATOR]

Alexey Dmitriev, не выглядит,
мне вот тоже интересно, как делать правильно, т.к. я не работаю с этим практически, но порой были ситуации, когда это знание бы пригодилось, и вот встретив такой вопрос тут - вы собираетесь его "удалить", нет, нельзя так
Вы может быть мегаопытный и для вас тут всё очевидно, но не все имеют такой опыт

[Alexey Dmitriev]

ALLIGATOR, если вы не умеете искать в гугле информацию, и обдумав её выдавать вопрос о том, что непонятно, а просите готовый ответ - это вызывает подобную реакцию.

[ALLIGATOR]

Alexey Dmitriev, умею, но этот вопрос мне попался в подборке рассылаемой хабром, и я бы не хотел, чтобы этот вопрос из-за вас удалили
т.е. целенаправленно мне никогда эти знания не требовались, но в нескольких ситуациях имея я их (прочитав ранее готовый ответ как здесь, к примеру) я бы ускорил работу работу других людей, которым эти знания были нужны, но им приходилось разбираться, и от того, когда они разберутся - я тоже зависел(по времени)
в общем если вам не надо, не значит, что другим не надо

Answer 1

[MVV]

Вот вам ссылка на рекомендации изготовителя (Microsoft). Там - целый раздел, ссылка ведет на первую статью раздела. Если испытываете трудности с английским, то эти рекомедации переведены (как-то) и на русский язык.
Резюме:

1. встроенного средства архивирования Windows для резервного копирования и восстановления AD достаточно, но в плане удобства использования коммерческие решения лучше;
   
2. одиночные контроллеры домена, не несущие других функций, восстанавливать нецелесообразно: никакой уникальной информации на них нет, и куда лучше просто добавить в AD новый КД с другим именем;
   
3. берегитесь средств снятия и восстанвления образов диска, не поддерживающих AD специально, как средства резервного копирования и восстановления, такие средства безопасно использовать только в системе с ровно одним КД в лесу (по крайней мере - для физических КД, с виртуальными полегче - многие гипервизоры поддерживают идентификатор VM, а AD обучена правильно реагировать на его смену - но можно нарваться); однако при нужде использовать их можно - надо только отдельно копировать и восстанавливать до подключения в сеть Состояние системы.
   

Comments

[Вася Пупкин]

Спасибо!

Answer 2

[ky0]

Контроллеры домена не бэкапят, а отказоустойчиво реплицируют - чтобы в случае выхода части нод из строя ничего не поломалось.

Comments

[Вася Пупкин]

Делать 2 контроллера и когда первый помрет, то передавать роли FSMO ?

[MVV]

Ну-ну... А что вы будете делать, если из строя выйдет вся AD? Например - из-за вовремя необнаруженного и расползшегося по контроллерам рассогласования из-за USN Rollback? Если чо - такой случай на практике я знаю: не из моей лично рабочей, но когда-то я помогал одному страдальцу отползти из такой ситуации на форуме MS Technet. Он отполз, кстати.
PS А ещё есть практика грузить сервера КД другими функциями. Особенно это было популярно в прошлую эпоху, когда виртуализация была чем-то далеким: простаивающее, по сути, железо вводило в соблазн.

Answer 3

[Drno]

Сними образ диска rdrive image или clonezilla.

Встроенный бэкап у винды корявый же…

Comments

[Вася Пупкин]

Спасибо, как резерв попробую.

[MVV]

Ваш совет - вредный, годится только для сетей с ровно одним контроллером домена. Потому что база AD - распределенная, ее узел нельзя просто так взять и скопировать, а вотом восстановить. Почему так - ищите и читайте материалы на тему "USN rollback".

PS Не нравится встроенное средство архивации Windows - используйте коммерческое решение. Только деньги за него заплатите ;-).

[Drno]

MVV, спрашивали как сделать бэкап - я ответил.
Зачем комерческие решения, когда есть опенсорсные?

[MVV]

Drno, а зачем вообще какие-то ещё (опенсорсные или нет) сторонние решения, когда есть решение, уже входящиев состав ОС - не задумывались, а?
В частности, комерческие же решения нужны, чтобы снизить трудозатраты на функционирование информационной системы. Именно за это снижение трудозатрат предприятия готовы платить деньги их производителям.
Но я писал не об этом, а о том, что использование решений для резервного копирования, не поддерживающих AD специально, может просто нанести вред. Вы за предложенные вами решения готовы отвечать, что они AD поддерживают? Или вам главное, что они идеологически правильные - опенсорсные.

Answer 4

[pindschik]

Нельзя бэкапить контроллер домена. Точнее можно, но когда вы решите его накатить назад - может отказаться, что ключи шифрования в домене обновились, а бэкап про них не знает. Кроме того, он еще и новые сгенерирует. Домен просто весь развалится. Не делайте так, делайте второй контроллер домена.

Comments

[MVV]

Под "ключами шифрования", если я правильно понял, имеются в виду пароли учетных записей компьютеров домена. Они, да, переоически меняются (по умолчанию - раз в 30 дней), впрочем AD всегда хранит и предыдущую копию. Но по истечении 30 дней может потребоваться сбрасывать паролиучетных записей компьютеров (особенно - восстанавливаемого КД),. Кроме того, в AD есть и другие ограничители времени: время годности данных DFSR (для репликации SYSVOL), по умолчанию - 90 дней (если его в последних версиях не поменяли), и время жизни захороненных (удаленных) объектов в базе AD, по умолчанию - 180 дней.
Так что нельзя просто так вязть и сделать один раз резервную копию AD и на этом успокоиться. Резервную копию нужно делать регулярно, не реже чем раз в месяц.

[pindschik]

MVV, не рекомендую восстанавливаться даже из месячной копии. Ключи шифрования - это не учетки пользователей.
И более того, если контроллер ушел из домена на месяц - не стоит его возвращать в сеть. Иначе потребуется много шаманить по восстановлению.

[MVV]

Ключи шифрования - это не учетки пользователей.

Дык, я разве про учетные записи пользователей писал? Я писал про учетные записи компьютеров - надеюсь, разницу понимаете?
Но вообще-то, мне чисто для себя хочется поинтересоваться, про какие ключи вы тут пишете: с этого места, пожалуйста, поподробнее - если можете, конечно.
PS А если в целом, то при восстановлении КД в сущестующую и функциоирующую AD все обновления содержимого БД AD реплицируются на восстановленный КД, и любые ключи в этой БД будут ровно те же. Но чтобы это произошло, КД долже быть способен аутентифицироваться на другом КД для репликации, и тут как раз вступает в действие срок жизни пароля: если он истек и был поменян после резервного копирования, то будут проблемы (впрочем, решаемые - этот пароль сбросить и переустановить можно, процедура в документации описана).

[pindschik]

разницу понимаете?

Разницу понимаю, хамить необязательно.
Нет, разговор не про учетки вообще.
Из-за "протухшего" билета Kerberos контроллеры домена теряют возможность репликации.
В идеале - должно БЫ обменяться новым через репликацию, но по факту, происходит обратная процедура - неверный билет распространяется в домене. Дальше валится куча ошибок, на рабочих станциях отваливается DFS. Проблема наступает через несколько часов после "воскрешения" старого КД.
Лечение есть, но это не тот случай, когда нужно сперва ломать, потом лечить.

Поэтому еще раз рекомендация - не восстанавливать из копии контроллеры домена, если прошло много времени, и не подключать к домену контроллеры, которые по каким-то причинам долго не имели доступ к репликации (например по причине нарушения связности сети между филиалами).

Answer 5

[ЮССЭэнтерпрайз]

Акронис умеет бэкапить контроллер домена, помогает или фигня, сам не пребывал.

Answer 6

[Andrey Lutsenko]

Лучшее резервирование - несколько контроллеров :)