Az Active Directory biztonsági mentési tippjei a katasztrófa utáni helyreállításhoz – Microsoft Platform Management – Blogok – Quest Community

A megfelelő Active Directory biztonsági mentési módszer kiválasztása kulcsfontosságú a sikeres katasztrófa-helyreállítási tervhez. Az Active Directory biztonsági mentésének három elsődleges módja van:

• Az Active Directory biztonsági mentései - Az Active Directory biztonsági mentései jelentik a helyreállítás sarokkövét az Active Directory helyreállításának minden szintjén, egy adott objektum vagy attribútum részletes visszaállításától, amelyet helytelenül töröltek vagy módosítottak, egészen egyetlen tartományvezérlő visszaállításáig ( DC), amelyek korrupciót szenvedtek el, hogy visszaállítsák az összes DC-t egy erdőben egy valódi katasztrófa utáni helyreállítási forgatókönyv szerint.
• Csupasz fém helyreállítási (BMR) biztonsági mentések - A Bare Metal Recovery lehetővé teszi az Active Directory-erdő visszaállítását különböző hardverpéldányokra az összes tartományvezérlő, tartományadat vagy szolgáltatás zsarolóprogram vagy más katasztrófa miatti fizikai megsérülése esetén. .
• Az Azure AD biztonsági mentései - A balesetek és rosszindulatú tevékenységek nem csak a helyszínen történnek. Ezért a hibrid AD-környezetekben a teljes informatikai katasztrófa-helyreállítási tervnek tartalmaznia kell egy biztonsági mentési stratégiát a csak felhőalapú objektumokhoz és attribútumokhoz, amelyeket nem védenek megfelelően a natív Microsoft-eszközök, és amelyeket nem fed le semmilyen helyszíni AD biztonsági mentési megoldás.

Ez a bejegyzés részletesen megvizsgálja ezeket a biztonsági mentési lehetőségeket, és segít eldönteni, hogy melyik a megfelelő az Ön számára, milyen körülmények között. Azt is elmagyarázza, hogy a Recovery Manager for Active Directory Disaster Recovery Edition hogyan biztosítja a stabilitást, a választási lehetőségeket és a rugalmasságot a valóban átfogó informatikai katasztrófa utáni helyreállítási tervezéshez.

Active Directory biztonsági mentések

Az AD biztonsági mentések jelentik az Active Directory helyreállításának alapját, akár egyetlen objektumot, attribútumot vagy DC-t kell visszaállítania, akár egy teljes erdő katasztrófa utáni teljes helyreállítására van szüksége. Meg kell jegyezni, hogy az AD biztonsági mentések nem azonosak az operációs rendszer állapotának biztonsági másolataival, amelyek a teljes operációs rendszerről készítenek biztonsági másolatot, nem csak az Active Directory részeit és részeit.

Az AD biztonsági mentések az Active Directory tartományvezérlőiből származó különféle összetevőket foglalják magukban, beleértve az NTDS-címtárat, a SYSVOL-t (amely csoportházirendeket és bejelentkezési szkripteket tartalmaz), valamint a rendszerleíró adatbázis azon részeit, amelyek az Active Directoryhoz kapcsolódnak.

Megbízható, automatizált AD biztonsági mentések

A Quest Recovery Manager for Active Directory portfólió leegyszerűsíti és automatizálja az AD biztonsági mentések beállításának folyamatát. Egy könnyen használható varázsló segítségével megadhatja, hogy mely tartományvezérlőkről vagy AD LDS (ADAM) gazdagépekről szeretne biztonsági másolatot készíteni, legyen az adott DC-k halmaza, vagy egy adott Active Directory-tartomány vagy szervezeti egység összes számítógépe. Azonnal kezdeményezheti a biztonsági mentés létrehozását, vagy konfigurálhat egy biztonsági mentési ütemezést. Javasoljuk, hogy legalább napi rendszerességgel készítsen biztonsági másolatot a tartományvezérlőkről. Mindenesetre minden tartományvezérlőről készítsen biztonsági másolatot, amikor fontos változtatásokat hajt végre a környezetben.

Mivel az AD-mentések kisebbek, mint a BMR-mentések, kevesebb hálózati forgalmat generálnak, és gyorsabban ellenőrizhetők rosszindulatú programok után. Ráadásul nem tartalmaznak binárisokat (kivéve a Sysvol fájlokat), így kisebb valószínűséggel tartalmaznak vírusokat. Vegye figyelembe, hogy a Recovery Manager for Active Directory képes ellenőrizni az AD biztonsági mentéseket rosszindulatú programok és vírusok keresésére.

Rugalmas helyreállítási lehetőségek

Hogyan használhatja az AD biztonsági mentéseket? A Recovery Manager rugalmasságot biztosít a katasztrófa utáni helyreállítási tervben. Választhatsz:

• Hová kell visszaállítani - Tiszta operációs rendszerre állítható vissza bármely gépen, legyen az fizikai gép, helyszíni virtuális gép vagy felhőalapú virtuális gép.
• Melyik DC-t kell először visszaállítani - Minden tartományban egyszerre visszaállíthatja az összes DC-t, vagy végrehajthat egy fázisos helyreállítást, amelyben minden tartományban visszaállít egy DC-t, hogy jelentős részt kapjon. gyorsan talpra álljon, majd reklámozza a többi DC-t (lásd a következő bejegyzésemet ebben a témában).
• Telepítés - A művelet felgyorsítása és a hálózati forgalom csökkentése érdekében telepíthet replikációval (ami órákig vagy akár napokig is eltarthat), vagy telepíthet adathordozóról (IFM). A Recovery Manager még a tömeges IFM-et is kínálja, amely kiküszöböli az időigényes és hibásan előforduló parancsok beírását minden telepítési műveletnél.

Bare-metal helyreállítási (BMR) biztonsági mentések

Sok szervezetnél a katasztrófa utáni helyreállítás csapatmunka. Míg az AD-rendszergazdák kritikus szerepet játszanak, más csapatokra kell támaszkodniuk, amelyek felelősek az operációs rendszerért, a kiszolgálón lévő alkalmazásokért és a hálózatért (akik új DNS-címet, hálózati kapcsolatot adnak). Egyes szervezeteknél azonban az AD adminisztrátornak teljes joga van arra, hogy önállóan készítsen biztonsági másolatot és visszaállítsa.

Ha jogosult a teljes AD-kiszolgáló biztonsági mentésére és visszaállítására, a BMR biztonsági mentések nagyszerű választást jelenthetnek bizonyos típusú katasztrófa-helyreállításokhoz. Az összes tartományvezérlő, tartományadat vagy szolgáltatás zsarolóprogramok vagy más okok miatti fizikai megsérülése esetén az Active Directory-erdőt visszaállíthatja különböző hardverpéldányokra a BMR biztonsági másolat és a szabványos AD biztonsági mentés használatával.

Automatikus BMR biztonsági mentés és helyreállítás

A Recovery Manager for Active Directory Disaster Recovery Edition automatizálja a BMR biztonsági mentését és helyreállítását. A biztonsági mentési folyamat a Microsoft Windows Server biztonsági másolatot használja, amely a Windows Server licencében található. Alapértelmezés szerint a Recovery Manager csak a kritikus köteteket tartalmazza a BMR biztonsági mentésekben (például az Active Directory adatbázis-kötetet, a SYSVOL-kötetet és az operációs rendszer-kötetet), de választhat más köteteket is, akár az összes DC-n, akár csak néhány DC-n.

Mivel a BMR biztonsági másolatok tartalmazzák az operációs rendszert, hatalmasak (gyakran 20 GB-os vagy nagyobbak), és nem tömöríthetők. A legjobb gyakorlat az, ha hetente csak egyszer készít BMR biztonsági másolatot a tárolási igények minimalizálása érdekében.

A Recovery Manager használatával kritikus meghibásodások (például egyenáramú hardverhiba vagy rosszindulatú programok) esetén a legutóbbi BMR biztonsági mentés és a legújabb AD biztonsági mentések segítségével gyorsan visszaállíthatja a teljes Active Directory-erdőt csupasz gépekre, operációs rendszer nélkül.

Azure AD biztonsági mentések

Mivel a szervezete alkalmazkodik a felhőhöz, nagyon fontos megérteni, hogy a helyszíni katasztrófa-helyreállítási megoldás mit takar, és mit nem, amikor az Active Directory szinkronizálva van az Azure AD-vel (AAD). Csakúgy, mint a csak helyszíni attribútumok, sok csak felhőalapú objektum és attribútum létezik. Például minden AAD-felhasználó rendelkezik egy Office 365 licenctípussal, amely meghatározza, hogy a felhasználó mely Office 365-szolgáltatásokat használhatja. Ha ez a felhasználói objektum törlődik, visszaállíthatja a helyszíni AD felhasználói objektumot, és az Azure AD Connect segítségével szinkronizálhatja újra az AAD-vel - de a licenctípus attribútum eltűnik, így a felhasználó nem tud dolgozni a felhőben, amíg meg nem kézzel oldja meg a problémát.

Ha natív eszközökre támaszkodik a biztonsági mentéshez és a helyreállításhoz, íme néhány apróság, amelyekre figyelni kell:

• Egyes objektumok nem állíthatók vissza, például az AAD-csoportok, a csoporttagság és a nehezen törölt felhasználók.
• Csak a nemrég törölt objektumok állíthatók vissza (az elmúlt 30 napon belül).
• Egyes attribútumok nem állíthatók vissza, például az MFA-beállítások és a feltételes hozzáférési szabályzatok.
• A tömeges visszaállítás nem hajtható végre PowerShell-szkript nélkül.
• Nincs AAD-módosítási napló vagy összehasonlító jelentés, amely segítene meghatározni, hogy mit kell visszaállítani.

Átfogó Azure AD biztonsági mentések hibrid visszaállításokhoz

A Recovery Manager for Active Directory az On Demand Recovery szolgáltatással integrálva teljes körű hibrid biztonsági mentési és helyreállítási megoldást biztosít, amely nyugalmat biztosít:

• A Recovery Manager for Active Directory lefedi a helyszíni objektumokat, beleértve mindazt, amit a felhőbe szinkronizál az Azure AD Connect segítségével.
• Az On Demand Recovery lefedi a többit, beleértve a csak felhőalapú objektumokat és attribútumokat, amelyeket az Azure AD Connect nem szinkronizált, beleértve az MFA-beállításokat, a feltételes hozzáférési házirendeket, a csak felhőalapú csoportokban való tagságokat és egyebeket.

Zökkenőmentes integrációt kap átfogó helyreállítási funkcióval. Egyetlen irányítópulton megtekintheti a hibrid és a csak felhőalapú objektumokat, különbségi jelentéseket futtathat, hogy pontosan meghatározza, milyen változások vagy törlések történtek, visszaállíthatja az objektumokat vagy attribútumokat, és így tovább.

Készítsen biztonsági másolatot az Active Directoryról egy választási lehetőséget, rugalmasságot és stabilitást biztosító megoldással

Amint láttuk, a Recovery Manager for Active Directory Disaster Recovery Edition választási lehetőséget kínál arra vonatkozóan, hogy milyen típusú biztonsági mentéseket kell készíteni (AD-mentés és BMR), valamint az adott katasztrófa-forgatókönyvhöz a legjobb helyreállítási típus kiválasztásához szükséges rugalmasság mellett. Ezenkívül a Recovery Manager számos egyéb előnyt is kínál, beleértve a következőket:

Biztonsági mentés életciklus-kezelés

A Recovery Manager rendszeresen készíthet AD-mentést és BMR-mentést a hálózat bármely Active Directory-tartományvezérlőjéhez anélkül, hogy megszakítaná a DC működését. A DC-ket gyűjteményekbe rendezheti, és meghatározhatja a biztonsági mentés gyakoriságát és azt a megengedett órát, amely alatt a mentési folyamat futhat. Így minden egyes gyűjteményhez beállíthat biztonsági mentési ütemezést a címtáradattár frissítési gyakorisága alapján.

Minden egyes gyűjteményhez beállíthat egy megőrzési szabályzatot is, amely meghatározza, hogy hány biztonsági másolatot kell megőrizni. Például a szervezet követelményeitől függően megőrizheti az öt vagy nyolc legutóbbi biztonsági másolatot. A legrégebbi biztonsági másolatok automatikusan törlődnek.

Biztonsági mentési helyek

A teljesítmény és a biztonság javítása érdekében kiválaszthatja, hogy hol tárolja AD és BMR biztonsági mentéseit. Különösen nem kell az összes AD biztonsági másolatot egyetlen lerakatban tárolnia; több adattárat is használhat, esetleg a webhely topológiája alapján, hogy a telepítést WAN-barátabbá tegye. Leveheti a biztonsági másolatokat, és megerősített tárolókiszolgálót építhet, amelyet két ügynök véd, így virtuális Fort Knox lesz.

Biztonsági titkosítás

A biztonsági másolatokhoz való hozzáférés korlátozása mellett a Recovery Manager titkosítani is tudja azokat. Pontosabban, az Ön által megadott jelszó egy jelszó létrehozására szolgál, amellyel a biztonsági másolat titkosítva van. A jelszó nem használható közvetlenül a biztonsági mentési tároló vhd(x) fájl zárolásának feloldására. A biztonsági másolatok AES-256 titkosítással vannak titkosítva. Konkrétan az AD biztonsági mentésekhez a Recovery Manager a Microsoft Enhanced RSA és AES Cryptographic Provider-t használja, míg a BMR biztonsági mentéseknél a BitLocker meghajtótitkosítással titkosított virtuális merevlemezt használ biztonsági mentés tárolójaként.

Rosszindulatú programok észlelése

Recovery Manager for Active Directory Disaster Recovery Edition a Windows Defender Antivirus segítségével ellenőrzi a BMR biztonsági másolatait rosszindulatú programok után az ellenőrzési folyamat részeként.

Rugalmas választási lehetőségek

Az AD-helyreállítás nem egy mindenkire érvényes javaslat. Olyan megoldásra van szüksége, amely tiszteletben tartja az Ön sajátos prioritásait, beleértve a legkritikusabb adatokat és alkalmazásokat, valamint az adott katasztrófa-forgatókönyv egyedi feltételeit, például, hogy mely adatközpontokat vagy régiókat érinti, és mekkora kárt okozott. A Recovery Manager biztosítja ezt a rugalmasságot.