안녕하세요. 저는 약 150명의 사용자가 있는 네트워크에서 Active Directory를 사용하고 있습니다. 모든 구성원은 서로 다른 정책을 가진 서로 다른 그룹에 속해 있습니다. 예를 들어 관리자가 실수로 어느 날 모든 사용자 또는 모든 그룹을 삭제했다면 우리 네트워크에 큰 문제가 될 것입니다. .
AD가 현재 사용자 및 그룹의 로그를 생성하도록 할 수 있는 방법을 아는 사람이 있습니까? 백업을 생성할 수는 없을 것 같지만 텍스트 형식만으로도 최소한 어떤 형태의 편안함을 얻을 수 있으므로 '어땠는지' 확인할 수 있습니다.
답변1
안정적인 백업 없이 AD를 실행하는 것은 경력 제한 이동을 보장합니다.
너~할 수 있었다다음과 같은 도구를 사용하십시오 ldifde(문서) 또는 csvde(문서) AD 개체를 덤프할 수 있지만 실제로는 심각한 오류나 삭제를 복구하는 데 적합하지 않습니다. 이러한 경우 Active Directory 환경에 대한 안정적인 백업이 필요하며 정식 복원이라는 작업을 수행해야 할 수도 있습니다.
Microsoft에는 다음과 같은 많은 문서가 있습니다.Active Directory 백업 및 복구, 당신은읽고 이해해야 한다조직에서 AD를 유지 관리하는 책임이 있는 경우. Server 2008부터 Microsoft는 다음을 포함합니다.Windows 서버 백업, Windows 시스템 상태 복구를 지원하는 다른 백업 제품이 없는 경우 사용해야 합니다. (실제로 제가 사용하고 있는게다가내 엔터프라이즈 백업 제품입니다.)
마지막으로, 최신 및 최고의 Windows Server 2008 R2를 사용하고 있고 Server 2008 R2 Forest 기능 수준을 실행하고 있다면 새로운 기능을 살펴보는 것이 좋습니다.Active Directory 휴지통특징. 하지만 이것이 신뢰할 수 있는 정보의 필요성을 없애는 것은 아닙니다.테스트를 거쳤습니다.AD 인프라의 백업 프로세스.
답변2
도메인 컨트롤러의 시스템 상태 백업을 수행할 때마다 Active Directory가 백업됩니다. 도메인 컨트롤러를 백업하고 계시죠? 시스템 상태가 포함되어 있는지 확인하세요.
자세한 내용은 여기를 참조하세요: http://www.youtube.com/watch?v=4ZgupfaJOG0
답변3
AD에서 중요한 개체를 보호할 수 있는 더 나은 방법이 있는지 궁금하신 분은 혼자가 아닙니다. 기본 보호 기능은 지금까지만 제공됩니다. 실수(중요한 OU 삭제, CEO의 사용자 계정 제거 또는 도메인 관리자 그룹에 잘못된 사람을 추가하는 등의 간단한 작업)를 했을 때 "죄송합니다" 순간이 항상 발생할 가능성이 있습니다. 어쩌면 자신을 보호할 수 있는 더 좋은 방법이 있을 수도 있다고 생각해보세요.
백업은 필수이지만 대부분의 경우 전체 디렉터리를 복원하는 것은 답이 아닙니다. 절박하다면 할 수 있는 일이지만 실수는 여전히 존재하며 마지막 백업 이후의 모든 변경 사항을 복원하고 다시 구현하는 데 여전히 많은 시간과 리소스를 소비하고 있습니다.
과거 어느 시점에서 AD를 전체 복원하지 않고도 이 문제를 해결할 수 있는 몇 가지 도구가 있습니다. 중요한 변경이 전혀 발생하지 않도록 사전에 방지하고 실수가 발생하지 않도록 중요한 개체를 잠그는 도구입니다. 제가 일하는 회사에는 AD 및 GPO용 StealthINTERCEPT라는 도구가 있으며 빠른 Google 검색을 통해 다른 도구도 찾을 수 있습니다. StealthINTERCEPT를 사용한 접근 방식은 AD 내의 주요 개체를 식별하고 잠그는 것입니다. 항목을 잠그는 것은 AD 내의 개체를 삭제, 이동, 이름 바꾸기 또는 수정할 수 있는 시기와 여부를 제어하여 관리자(원하는 경우 자신)가 심각한 실수를 저지르는 것을 방지하는 것을 의미합니다. StealthINTERCEPT가 제공하는 보안은 AD 기본 권한 외부에 존재합니다. 즉, 조직 내에서 가장 높은 수준의 권한을 가진 사용자라도 여전히 우리 도구를 사용하여 실제로 파괴적인 작업을 수행하는 것을 방지할 수 있습니다.
도구가 실제로 작동하는 모습을 보려면 데모 중 하나를 방문하거나 다음 주소로 문의하세요.http://www.stealthbits.com/contact-us-company.
답변4
내가 이해한 바에 따르면 Server 2008 수준 AD 포리스트는쓰레기통실수로 삭제된 작업을 복구하려면
마이크로소프트는단계별 가이드AD에서 휴지통을 사용하는 방법:
게다가, 습관적으로 하는 사람들에게 전체 도메인/포리스트에 대한 관리 액세스 권한을 부여해서는 안 됩니다.아무것 사고로. 당신은 일을하는 사람을 원합니다 "책으로".
AD는 귀하의 권한과 권한을 분할하기 위해 조직 단위를 제공합니다.그것을 써!단일 사용자가 전체 디렉토리를 제어하도록 두지 마십시오.
물론, 계층 구조의 최상위에 단일 권한을 가질 수 있지만 해당 업무를 진지하게 받아들이고 자신이 관리하는 데이터의 중요성을 인식하고 있는 사람이어야 합니다.
결론적으로, 사람들은우연히물건을 삭제하고 해당 데이터의 백업을 보관하지 않는 사람은 디렉터리를 맡겨야 할 사람이 아닙니다.