Hallo, ich verwende Active Directory in einem Netzwerk mit etwa 150 Benutzern, die alle Mitglieder unterschiedlicher Gruppen mit unterschiedlichen Richtlinien usw. sind. Es wäre ein großes Problem für unser Netzwerk, wenn beispielsweise ein Administrator eines Tages versehentlich alle Benutzer oder alle Gruppen löschen würde …
kennt jemand von euch eine Möglichkeit, wie man AD dazu bringen kann, Protokolle seiner aktuellen Benutzer und Gruppen zu erstellen? Ich nehme an, dass es kein Backup erstellen kann, aber eine einfache Textform wäre zumindest eine Art Trost, damit wir sehen könnten, wie es „war“.
Antwort1
Das Ausführen von AD ohne zuverlässige Backups ist garantiert ein karriereschädigender Schritt.
Dukönnteverwenden Sie ein Werkzeug wie ldifde(Dokument) oder csvde(Dokument), um AD-Objekte zu sichern, aber das reicht nicht wirklich aus, um nach einem schwerwiegenden Fehler oder einer Löschung eine Wiederherstellung durchzuführen. In diesen Fällen benötigen Sie eine zuverlässige Sicherung Ihrer Active Directory-Umgebung und müssen möglicherweise einen Vorgang namens „Authoritative Restore“ durchführen.
Microsoft verfügt über zahlreiche Dokumentationen zuSichern und Wiederherstellen von Active Directory, welche dusollte lesen und verstehenwenn Sie für die Wartung von AD in Ihrer Organisation verantwortlich sind. Ab Server 2008 bietet MicrosoftWindows Server-Sicherung, das Sie verwenden sollten, wenn Sie kein anderes Backup-Produkt haben, das die Wiederherstellung des Windows-Systemstatus unterstützt. (Tatsächlich verwende ich eszusätzlich zumein Enterprise-Backup-Produkt.)
Wenn Sie den neuesten und besten Windows Server 2008 R2 verwenden UND eine Server 2008 R2 Forest-Funktionsebene ausführen, sollten Sie sich die neue Version ansehen.Active Directory-PapierkorbFunktion. Aber auch dies macht eine zuverlässige,geprüftSicherungsprozess für Ihre AD-Infrastruktur.
Antwort2
Active Directory wird immer dann gesichert, wenn Sie eine Systemstatussicherung des Domänencontrollers durchführen. Sie sichern Ihren Domänencontroller doch, richtig? Stellen Sie sicher, dass der Systemstatus enthalten ist.
Mehr hier: http://www.youtube.com/watch?v=4ZgupfaJOG0
Antwort3
Sie sind nicht der Einzige, der sich fragt, ob es einen besseren Weg gibt, kritische Objekte in AD zu schützen. Native Schutzmechanismen helfen Ihnen nur bis zu einem gewissen Punkt – es besteht immer die Möglichkeit eines „Hoppla“-Moments, wenn Sie einen Fehler machen (eine kritische Organisationseinheit löschen, das Benutzerkonto des CEO entfernen oder etwas Einfaches tun, wie den falschen Benutzer zur Gruppe der Domänenadministratoren hinzufügen) und denken, dass es vielleicht einen besseren Weg gibt, sich zu schützen.
Backups sind ein Muss, aber in vielen Fällen ist die Wiederherstellung Ihres gesamten Verzeichnisses keine Lösung. Sie können dies zwar tun, wenn Sie verzweifelt sind, aber der Fehler ist immer noch da und Sie verbringen immer noch viel Zeit und Ressourcen damit, alle Änderungen seit Ihrem letzten guten Backup wiederherzustellen und erneut zu implementieren.
Es gibt einige Tools, die dieses Problem lösen, ohne dass Sie Ihr AD von einem früheren Zeitpunkt an vollständig wiederherstellen müssen. Tools, die proaktiv verhindern, dass kritische Änderungen überhaupt vorgenommen werden, indem sie kritische Objekte sperren, sodass Fehler gar nicht erst passieren. Das Unternehmen, für das ich arbeite, hat ein solches Tool – StealthINTERCEPT für AD und GPOs – und eine schnelle Google-Suche kann wahrscheinlich noch weitere zutage fördern. Der Ansatz von StealthINTERCEPT besteht darin, Schlüsselobjekte in AD zu identifizieren und zu sperren. Sie zu sperren bedeutet, Ihre Administratoren (und Sie selbst, falls gewünscht) daran zu hindern, bestimmte kritische Fehler zu machen, indem Sie kontrollieren, wann und ob Sie Objekte in AD löschen, verschieben, umbenennen oder anderweitig ändern können. Die von StealthINTERCEPT bereitgestellte Sicherheit besteht außerhalb der nativen AD-Berechtigungen, was bedeutet, dass selbst die Benutzer mit den höchsten Berechtigungen in Ihrer Organisation sich immer noch auf unser Tool verlassen können, um sie daran zu hindern, wirklich destruktive Dinge zu tun.
Wenn Sie das Tool in Aktion sehen möchten, kommen Sie zu einer unserer Vorführungen oder kontaktieren Sie uns unterhttp://www.stealthbits.com/contact-us-company.
Antwort4
Nach meinem Verständnis bieten AD-Gesamtstrukturen auf Server 2008-Ebene einePapierkorbzur Wiederherstellung nach versehentlichen Löschvorgängen.
Microsoft bietet eineSchritt für Schritt Anleitungzur Verwendung des Papierkorbs in AD:
Außerdem sollten Sie niemals administrativen Zugriff auf Ihre gesamte Domäne/Gesamtstruktur an Personen vergeben, die dies regelmäßig tunirgendetwas ausversehen. Sie wollen Leute, die Dinge tun "nach dem Buch".
AD bietet Organisationseinheiten zur Segmentierung Ihrer Befugnisse und Berechtigungen.Benutze sie!Überlassen Sie nicht einem einzelnen Benutzer die Kontrolle über Ihr gesamtes Verzeichnis.
Natürlich kann an der Spitze Ihrer Hierarchie eine einzelne Autorität stehen. Achten Sie jedoch darauf, dass es sich um jemanden handelt, der seine Aufgabe ernst nimmt und sich der Bedeutung der von ihm verwalteten Daten bewusst ist.
Unterm Strich: Menschen, dieversehentlichDinge löschen und keine Sicherungskopien dieser Daten aufbewahren, sind nicht die Art von Leuten, denen Sie Ihr Verzeichnis anvertrauen sollten.