Authoritative restore & None Authoritative restore - Disaster Recory AD

Authoritative restore & None Authoritative restore - התאוששות מאסון אקטיב דירקטורי
מאת: שי פיס (כל הזכויות שמורות)

מצבי קיצון, כשמם כן הם, קורים רק במקרים קיצוניים – אולם דווקא בנקודות אלה רואים הבדלים ברורים בין אלה שבאמת מבינים את הטכנולוגיות לבין אלה שסתם למדו כמו תוכים.

מטרת המדריך הזה היא לסייע בשני תרחישי קיצון שעשויים לגרום להשבתה טוטאלית של האירגון שלכם

שני המקרים יעזרו לכם לפתור תקלה שבה אחת או יותר מהדומיין קונטרולרים בארגון נפל. או במידה ובטעות מחקתם משתמש או מספר משתמשים ואתם רוצים לחזור אחורה.

1.1. תרחישים
כשל חומרתי, תקלות BOOT, מסכים כחולים – תרחיש 1, No Authoritative Restore
כשל תוכנתי, סנכרון בין השרתים, SYSVOL, טעות אנוש – תרחיש 2, Authoritative Restore
2. תרחיש 1- No Authoritative Restore

א. בעיות במערכת דיסקים. במידה והתגלתה תקלה ב Disk 0 או ב Disk 1, על אנשי ה IT בחברה להחליף מהר ככל שניתן את הדיסק התקול בדיסק זהה, ולוודא שמערך ה RAID נוצר מחדש על ידי הבקר. במידה והמערך לא נוצר יש להיעזר ב Raid Management שמותקן על השרת כדי להגדיר את המערך ידנית. במצב בו לא ניתן להגדיר את המערך ויש חשש לתקלת חומרה תפנה חברת חברתכם לחברה חיצונית לטיפול בתקלה זו.

ב. תקלת BOOT / מסכים כחולים. במקרה זה יבצע מנהל מערכות המידע בחברה בדיקה עם כל בעלי ההרשאות לשרת כדי לוודא התקנות של חומרה, תוכנה, עדכונים או פאצ'ים על השרת. במידה ואכן הותקן יש לנתק את הרכיב שהותקן (במידה ומדובר בחומרה) ולנסות להפעיל את המחשב מחדש, במידה והותקנו תוכנות או עדכונים, או במידה ולא הותקן דבר יש לבצע No Authoritative Restore

בסדר הבא:

הפעלה מחדש של המחשב במצב Active Directory Restore Mode
שיחזור ה System Stat העדכני ביותר ממערת הגיבוי
הפעלה מחדש של המחשב
חשוב: ברגע שהשרת עולה בחזרה יש לוודא שמתבצע סנכרון והמידע המעודכן מה- Domain Controller השני עובר ומעדכן את השרת שעבר שיחזור.


תרחיש 2


א. מחיקת User או Group. במקרה כזה אין צורך לבצע Restore לשרת (אם כי ניתן) להפעיל את הכלי AD object restore ולשחזר את האובייקט שנמחק, האובייקט ישוחזר עם ה SID המקורי מה Tombstone בתנאי שהוא נמחק עד 120 יום אחורה. כמו כן יש לצרף את ה USER לקבוצות אליהן הוא משתייך באופן ידני ולבצע Reconnect לתיבת מייל דרך ה System Manager.

ב. מחיקת OU שלם / מחיקת Computer Account. במקרה הזה יש לבדוק במהירות האפשרית האם התבצע כבר סנכרון בין השרתים, אם לא התבצע יש להפסיק את הסנכרון מידית כדי לא להעביר את התקלה ל Domain Controller השני, אם הצלחנו לבצע זאת בזמן, יש לחזור תרחיש גיבוי מס' 1. (ניתן לבצע את הפסקת הסנכרון באמצעות הכלי RAPADMIN או פשוט לנתק את הDomain Controller

במידה וסנכרון כבר התבצע, יש לעבוד ע"פ התרחיש הבא:

· יש לבצע הפעלה מחדש של השרת במצב Active Directory Restore

· יש לשחזר System State מהגיבוי האחרון הזמין

· לאחר מכן להפעיל מחדש את המחשב שוב במצב Restore ולהשתמש בכלי ntdsutil כדי לסמן את האובייקט ששוחזר כ Authoritative אם האובייקט לא יסומן כך ברגע שהשרת יעלה ה Domain Controller השני ידרוס אותו עם המצב הנוכחי (להזכירכם מצב שבו OU שלם נמחק.

לדוגמא אם מחקנו בטעות את הקונטיינר שנקרא FEMI כך נרשם את הפקודה:

נפתח CMD ושם נרשם – NTDSUTIL

לאחר מכן נרשום Authoritative restore

אז נרשום את כתובת ה LDAP של ה OU שנמחק, במקרה שלנו נרשם כך:

restore subtree ou=YourOU,dc=YourDomain,dc=co,dc=il

· נפעיל מחדש את המחשב במצב רגיל

· יש לבצע סנכרון מחדש ולוודא העתקת המידע בסדר שהגדרנו

ג. הערות :

בזמן שיחזור Domain Controller יש להימנע מיצירת כל אובייקט חדש על ה- Domain Controller השני כמו גם יצירת Users איפוס סיסמאות וכדומה.

במידה וה- Domain Controller יהיה למטה זמן ממושך ובכל זאת צריך להתנהל ולשנות אובייקטים באקטיב דירקטורי יש להעביר את כל ה FSMO roles ל - Domain Controller השני, פעולה זו מומלץ מאוד לבצע לפני שמורידים את ה- Domain Controller לתיקון.

נזכיר כאן שיש חמישה FSMO ROLES שכולם מותקנים על ה- Domain Controller הראשי