Процесс восстановления

Существуют две причины, из-за которых, возможно, придется восстанавливать Active Directory [13].

• Первая причина возникнет, когда база данных станет непригодной для использования, потому что на одном из контроллеров домена произошел отказ в работе жесткого диска или база данных испорчена до такой степени, что ее больше не удается загрузить.

• Вторая причина возникнет, когда в результате ошибки кто-то удалил организационную единицу, содержащую несколько сотен учетных записей пользователей и групп. В этом случае желательнее восстановить информацию, чем вводить ее повторно.

Если планируется восстанавливать Active Directory, потому что базу данных на одном из контроллеров домена больше нельзя использовать, то имеются следующие два варианта процесса [13].

• Первый вариант состоит в том, чтобы вообще не восстанавливать Active Directory на отказавшем сервере, а создать еще один контроллер домена, назначив другой сервер, на котором выполняется система Windows Server 2003, контроллером домена. Таким способом будут восстановлены функциональные возможности контроллера домена, а не служба Active Directory на определенном контроллере домена.

• Второй вариант состоит в восстановлении отказавшего сервера и последующем восстановлении базы данных Active Directory на этом сервере. В этом случае будет выполнено восстановление при отсутствии полномочий (non-authoritative). При таком восстановлении база данных Active Directory восстанавливается на контроллере домена, а затем все изменения, сделанные к Active Directory после создания резервной копии, реплицируются на восстановленный контроллер домена.

Если планируется восстанавливать Active Directory, потому что кто-то удалил большое количество объектов из каталога, то необходимо восстановить базу данных Active Directory на одном из контроллеров домена, используя резервную копию, которая содержит удаленные объекты. Затем требуется сделать восстановление при наличии полномочий (authoritative), в процессе которого все восстановленные данные отмечаются так, чтобы они реплицировались на все другие контроллеры домена, перезаписывая удаленную информацию.

Для восстановления Active Directory необходимо архивировать данные состояния службы [4], [6]: реестр, базу данных регистрации СОМ+, системные загрузочные файлы и базу данных служб сертификации (если это сервер служб сертификации). При перезагрузке компьютера в режиме восстановления служб каталогов необходимо войти в систему с администраторскими правами, используя правильные имя и пароль учетной записи Security Accounts Manager. При этом нельзя использовать учетную запись администратора Active Directory, так как службы Active Directory отключены и нельзя их средствами проверить подлинность учетной записи. Для этого применяется база данных учетных записей SAM: пароль учетной записи SAM задается в процессе установки Active Directory.

Краткие итоги

Первые шаги в восстановлении системы после отказа выполняются намного раньше, чем случится сам отказ. Подготовка включает просмотр всех элементов, составляющих нормальную сетевую инфраструктуру, а также некоторые специфичные для Active Directory вещи. Перечисленные ниже процедуры являются критически важными.

• Разработать последовательное создание резервной копии и восстановить управление контроллеров домена.

• Развернуть контроллеры домена Active Directory с аппаратной избыточностью.

Наиболее важное из ограничений, накладываемых на создание резервной копии службы каталога, состоит в том, что Active Directory может копироваться только как часть данных системного состояния контроллера домена.

Данные системного состояния контроллера домена включают:

• базу данных Active Directory и журналы транзакций;

• системные файлы и файлы запуска, находящиеся под защитой Windows;

• системный реестр контроллера домена;

• всю зонную информацию DNS, интегрированную с Active Directory;

• папку Sysvol;

• базу данных регистрации классов СОМ+;

• базу данных службы сертификатов (если контроллер домена является также сервером службы сертификатов);

• информацию кластерной службы;

• метакаталоги информационной Интернет-службы Microsoft (IIS) (если служба IIS установлена на компьютере).

Все эти компоненты должны копироваться и восстанавливаться целиком из-за их тесной интеграции.

Причины, из-за которых, возможно, придется восстанавливать Active Directory:

• База данных станет непригодной для использования.

• Удаление организационной единицы, содержащей несколько сотен учетных записей пользователей и групп.

Для восстановления Active Directory необходимо архивировать данные состояния службы: реестр, базу данных регистрации СОМ+, системные загрузочные файлы и базу данных служб сертификации (если это сервер служб сертификации).

1 Exchange Server 2000 полагается на Active Directory для своей службы каталога, поэтому многие администраторы реализуют Active Directory, чтобы модернизироваться до Exchange Server 2000.

1 Более подробную информацию о доменах можно найти в документации по операционным системам Windows.

1 График времени перехода не является решающим фактором при выборе пути перехода, тем не менее он может быть определяющим для небольших организаций с ограниченными ресурсами.

1 Существуют наборы инструментов, которые могут соединить мониторинг этих ключевых индикаторов в один легко управляемый интерфейс, и для больших организаций наличие таких средств очень существенно, но они дороги, сложны и требуют много ресурсов.

2 Возможно, эта информация не поможет предотвратить возникновение сегодняшней ошибки, но она позволит получить ценные данные, с которыми можно строить планы по дальнейшему развитию инфраструктуры компании.

Москва, 2008