Привет, я использую Active Directory в сети, где около 150 пользователей, все из которых являются членами разных групп с разными политиками и т. д. Это стало бы огромной проблемой для нашей сети, если бы, например, администратор однажды по ошибке удалил всех пользователей или все группы...
кто-нибудь из вас знает, как заставить AD создавать журналы текущих пользователей и групп? Я не думаю, что он может создавать резервную копию, но просто текстовая форма была бы, по крайней мере, неким утешением, чтобы мы могли увидеть, как это «было».
решение1
Использование AD без надежных резервных копий — гарантированный шаг, ограничивающий карьеру.
Тымогиспользуйте такой инструмент, как ldifde(док) или csvde(док) для дампа объектов AD, но этого будет недостаточно для восстановления после серьезного сбоя или удаления. В таких случаях вам понадобится надежная резервная копия среды Active Directory, и вам может потребоваться выполнить операцию, называемую Authoritative Restore.
У Microsoft есть много документации по этому поводу.резервное копирование и восстановление Active Directory, который выдолжен прочитать и понятьесли вы отвечаете за поддержку AD в вашей организации. Начиная с Server 2008, Microsoft включаетРезервное копирование Windows Server, который вам следует использовать, если у вас нет другого продукта для резервного копирования, поддерживающего восстановление состояния системы Windows. (На самом деле, я использую егов дополнение к(Мой продукт для резервного копирования на предприятии.)
Наконец, если вы используете новейшую и лучшую версию Windows Server 2008 R2 И работаете на функциональном уровне Server 2008 R2 Forest, то вам, возможно, стоит обратить внимание на новыйКорзина Active Directoryособенность. Но опять же, это не отменяет необходимости иметь надежный,проверенопроцесс резервного копирования вашей инфраструктуры AD.
решение2
Резервное копирование Active Directory выполняется всякий раз, когда вы делаете резервное копирование состояния системы контроллера домена. Вы ведь делаете резервную копию контроллера домена, верно? Убедитесь, что она включает состояние системы.
Подробнее здесь: http://www.youtube.com/watch?v=4ZgupfaJOG0
решение3
Вы не одиноки в размышлениях о том, есть ли лучший способ защитить критически важные объекты в AD. Собственные средства защиты помогают лишь до определенного момента — всегда есть вероятность того, что наступит момент «ой», когда вы допустите ошибку (удалите критически важное подразделение, удалите учетную запись генерального директора или сделаете что-то простое, например, добавите не того человека в группу администраторов домена) и подумаете, что, возможно, есть лучший способ защитить себя.
Резервные копии необходимы, но во многих случаях восстановление всего каталога не является ответом. Это то, что вы можете сделать в отчаянном положении, но ошибка все еще существует, и вы все еще тратите много времени и ресурсов на восстановление и повторное внедрение всех изменений с момента вашего последнего хорошего резервного копирования.
Существуют некоторые инструменты, которые решают эту проблему, не прибегая к полному восстановлению вашего AD с какой-то точки в прошлом. Инструменты, которые проактивно предотвращают критические изменения вообще, блокируя критические объекты, чтобы ошибки никогда не происходили. В компании, в которой я работаю, есть такой инструмент - StealthINTERCEPT для AD и GPO - и быстрый поиск в Google, вероятно, может найти другие. Подход StealthINTERCEPT заключается в том, чтобы идентифицировать ключевые объекты в AD и заблокировать их. Блокировка элементов означает предотвращение ваших администраторов (и вас самих, если хотите) от совершения определенных критических ошибок путем контроля того, когда и можете ли вы удалять, перемещать, переименовывать или иным образом изменять объекты в AD. Безопасность, которую обеспечивает StealthINTERCEPT, существует за пределами собственных разрешений AD, что означает, что даже пользователи с наивысшим уровнем привилегий в вашей организации все равно могут положиться на наш инструмент, чтобы не допустить совершения ими действительно разрушительных действий.
Если вы хотите увидеть инструмент в действии, приходите на одну из наших демонстраций или свяжитесь с нами по адресуhttp://www.stealthbits.com/contact-us-company.
решение4
Насколько я понимаю, леса AD уровня Server 2008 предоставляютКорзинадля восстановления после случайных операций удаления.
Microsoft предоставляетПошаговое руководствооб использовании корзины в AD:
Кроме того, вы никогда не должны предоставлять административный доступ ко всему вашему домену/лесу людям, которые имеют привычку делатьчто-либо случайно. Вам нужны люди, которые что-то делают.по книге".
AD предоставляет организационные подразделения для сегментации ваших полномочий и разрешений.Используй их!Не позволяйте одному пользователю контролировать весь ваш каталог.
Конечно, вы можете назначить на вершину своей иерархии одного человека, но убедитесь, что это человек, который относится к своей работе серьезно и осознает важность данных, которыми он управляет.
В конечном итоге, люди, которыеслучайноТе, кто удаляют данные и не делают резервных копий, — это не те люди, которым стоит доверять свой каталог.