9
Active Directory (auf Windows Server 2016) - Disasterplanung - Notfallwiederherstellung - relevanter Situationen
Hallo Zusammen,
folgendes Szenario:
Es ist eine Active Directory Gesamtstruktur (2016) mit Verwaltungsdomäne (Root) leer und einer Untergeordneten (Sub) Domäne im Einsatz.
Ein Domänencontroller (VMs) jeder Domäne (die auch alle FSMO ausführen und GC sind) werden per Windows Server Sicherung (Option Voll) gesichert.
Die Wiederherstellung der Datensicherung der Gesamtstruktur wurde jetzt getestet.
Die beiden DCs sind in einem separaten Testnetz lauffähig. Anmelden funktioniert an jedem DC.
Einige relevante Einstellungen wie Ping, DNS, Zeit, etc. wurden bereits geprüft - sind korrekt.
Fragen:
1.
Ein in diesem Testnetz durchgeführter Domänenbeitritt der Subdomäne auf einem Windows Server 2016 schlägt mit folgender Fehlermeldung fehl:
Der Vorgang konnte aufgrund von Fehlern nicht abgeschlossen werden.
Im Eventlog des DCs der Subdomäne stehen Einträge (...pool), die auf den RID-Mast Schwierigkeiten hindeuten.
2.
Wie ist eine Wiederherstellung einer Gesamtstruktur mit der Windows Server Sicherung durchzuführen?
a)
Welche Vorteile bieten Drittanbieter Backuplösungen also inkl. AD-Agent im Vergleich zur Windows Server Sicherung?
b)
Gibt es technische Funktionen im Hintergrund, die Drittanbieterlösung automatisch durchführen im Vergleich zur Windows Server Sicherung (Systemstatus, Bare-Metal, etc. für DCs)?
3.
a)
Müssen bestimmte DCs gesichert und wieder hergestellt werden oder kann dies irgendeiner in jeder Domäne sein, um eine erfolgreiche Wiederherstellung einer Gesamtstruktur durchzuführen?
b)
Müssen besser alle DCs der Domäne wiederhergestellt werden, um eine Gesamtstruktur wieder lauffähig zu bekommen?
4.
Welche Herangehensweise an eine AD Disasterplanung ist empfehlenswert um 80% der Notsituationen abzudecken?
Bsp:
- Nach Szenarien: DC pyhsisch ausgefallen, Virt. DC ausgefallen - je Domäne, AD DB defekt, etc. => dazu je die Verfahrensweise per Checkliste dokumentieren
- ?
Leider komme ich mit den Hinweisen aus Büchern dazu nicht weiter.
Hat sich jemand schon mit dem Thema befasst und eine erfolgreich erprobte Decasterlösung fürs AD?
Danke für Eure Tipps!
Gruß
folgendes Szenario:
Es ist eine Active Directory Gesamtstruktur (2016) mit Verwaltungsdomäne (Root) leer und einer Untergeordneten (Sub) Domäne im Einsatz.
Ein Domänencontroller (VMs) jeder Domäne (die auch alle FSMO ausführen und GC sind) werden per Windows Server Sicherung (Option Voll) gesichert.
Die Wiederherstellung der Datensicherung der Gesamtstruktur wurde jetzt getestet.
Die beiden DCs sind in einem separaten Testnetz lauffähig. Anmelden funktioniert an jedem DC.
Einige relevante Einstellungen wie Ping, DNS, Zeit, etc. wurden bereits geprüft - sind korrekt.
Fragen:
1.
Ein in diesem Testnetz durchgeführter Domänenbeitritt der Subdomäne auf einem Windows Server 2016 schlägt mit folgender Fehlermeldung fehl:
Der Vorgang konnte aufgrund von Fehlern nicht abgeschlossen werden.
Im Eventlog des DCs der Subdomäne stehen Einträge (...pool), die auf den RID-Mast Schwierigkeiten hindeuten.
2.
Wie ist eine Wiederherstellung einer Gesamtstruktur mit der Windows Server Sicherung durchzuführen?
a)
Welche Vorteile bieten Drittanbieter Backuplösungen also inkl. AD-Agent im Vergleich zur Windows Server Sicherung?
b)
Gibt es technische Funktionen im Hintergrund, die Drittanbieterlösung automatisch durchführen im Vergleich zur Windows Server Sicherung (Systemstatus, Bare-Metal, etc. für DCs)?
3.
a)
Müssen bestimmte DCs gesichert und wieder hergestellt werden oder kann dies irgendeiner in jeder Domäne sein, um eine erfolgreiche Wiederherstellung einer Gesamtstruktur durchzuführen?
b)
Müssen besser alle DCs der Domäne wiederhergestellt werden, um eine Gesamtstruktur wieder lauffähig zu bekommen?
4.
Welche Herangehensweise an eine AD Disasterplanung ist empfehlenswert um 80% der Notsituationen abzudecken?
Bsp:
- Nach Szenarien: DC pyhsisch ausgefallen, Virt. DC ausgefallen - je Domäne, AD DB defekt, etc. => dazu je die Verfahrensweise per Checkliste dokumentieren
- ?
Leider komme ich mit den Hinweisen aus Büchern dazu nicht weiter.
Hat sich jemand schon mit dem Thema befasst und eine erfolgreich erprobte Decasterlösung fürs AD?
Danke für Eure Tipps!
Gruß
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 619779
Url: https://administrator.de/contentid/619779
Ausgedruckt am: 22.11.2024 um 00:11 Uhr
9 Kommentare
Neuester Kommentar
Moin,
sicher, dass Du mit "Decasterplanung" nicht "Desasterplanung" meinst?
Gruß
sicher, dass Du mit "Decasterplanung" nicht "Desasterplanung" meinst?
Gruß
Zitat von @beidermachtvongreyscull:
sicher, dass Du mit "Decasterplanung" nicht "Desasterplanung" meinst?
Vielleicht will er Yurendell DeCaster planen? sicher, dass Du mit "Decasterplanung" nicht "Desasterplanung" meinst?
Auch ne Möglichkeit.
Ich warte einfach Mal ab, ob der TO hier aufklärt.
Wenn nicht, dann bin ich hier draußen.
Ich warte einfach Mal ab, ob der TO hier aufklärt.
Wenn nicht, dann bin ich hier draußen.
Habe den Schreibfehler korrigiert.
Hat jemand zu den oben genannten Punkten Infos oder Erfahrungswerte vorliegen?
Danke für Eure Tipps/Hilfe
Hat jemand zu den oben genannten Punkten Infos oder Erfahrungswerte vorliegen?
Danke für Eure Tipps/Hilfe
Desaster. Ohne I.
Bitte. Gerne
Bitte. Gerne
Dann komme ich mit dem Hinweis auf den Kommentar von @Henere auf Deine Fragen zu sprechen:
Das ist viel zu ungenau. Zeige die Einträge auf Basis Ihrer Auslösequelle und der ID.
Das kommt auf den Aufbau und den Zustand der Gesamtstruktur an. Ich würde normalerweise mit einem Forrest-DC anfangen, dann einen neuen aufsetzen und dazwischen eine Replikation und gesicherten Kanal aufbauen. Ich würde und habe bisher nie alle DCs einer Struktur zurückgefahren und bin damit gut gefahren.
Die einzigen Vorteile, die ich sehe am Beispiel Veeam sind,
Drittanbieterlösungen tun hier aus meiner Sicht nichts anderes, was die Windowssicherung nicht auch hinbekäme. Du kannst einen Exchangeserver durchaus mit Windowsbackup sichern, aber wenn Du granulare Sicherung/Recovery wünschst, dann wird es spannend.
Ich habe mich darauf festgelegt, dass Windowsbackup den Katastrophenfall durchaus einfangen kann, aber leichte Problemchen eben nicht. Um genauer zu sein: Server, die ich mit WB sichere, gehören bei mir zu der Klasse, die ich immer nur vollständig zurückfahren kann.
Verzugsweise muss es mindestens ein intakter DC sein, der gesichert ist! Nimmst Du einen, der sich aus der Domäne geballert hat, ist es beinahe aus!
Nach meiner Erfahrung nicht. Es reicht ein intakter aus (der muss aber wirklich intakt sein!), wie oben erwähnt.
Ich habe bisher immer nur einen wiederhergestellt, Fehler beseitigt, Rollen festgelegt, Replikation angepasst, dann einen neuen hinzugenommen. Wenn die sich fehlerfrei unterhielten, war die Domäne wieder klar.
Ich würde eher so planen, dass es nicht zu solchen Szenarien kommt. Die von Dir aufgeführten Szenarien würden nämlich den Schluss erlauben, dass jemand ein Haus baut ohne Fundament.
Ich dachte mal darüber nach einen RODC als absoluten Failover für eine zerschossene AD DB aufzubauen, aber mit jeder aktiven Replikationsinstanz steigt auch das Risiko in meinen Augen.
Fragen:
1.
Ein in diesem Testnetz durchgeführter Domänenbeitritt der Subdomäne auf einem Windows Server 2016 schlägt mit folgender Fehlermeldung fehl: Der Vorgang konnte aufgrund von Fehlern nicht abgeschlossen werden. Im Eventlog des DCs der Subdomäne stehen Einträge (...pool), die auf den RID-Mast Schwierigkeiten hindeuten.
1.
Ein in diesem Testnetz durchgeführter Domänenbeitritt der Subdomäne auf einem Windows Server 2016 schlägt mit folgender Fehlermeldung fehl: Der Vorgang konnte aufgrund von Fehlern nicht abgeschlossen werden. Im Eventlog des DCs der Subdomäne stehen Einträge (...pool), die auf den RID-Mast Schwierigkeiten hindeuten.
Das ist viel zu ungenau. Zeige die Einträge auf Basis Ihrer Auslösequelle und der ID.
2.
Wie ist eine Wiederherstellung einer Gesamtstruktur mit der Windows Server Sicherung durchzuführen?
Wie ist eine Wiederherstellung einer Gesamtstruktur mit der Windows Server Sicherung durchzuführen?
Das kommt auf den Aufbau und den Zustand der Gesamtstruktur an. Ich würde normalerweise mit einem Forrest-DC anfangen, dann einen neuen aufsetzen und dazwischen eine Replikation und gesicherten Kanal aufbauen. Ich würde und habe bisher nie alle DCs einer Struktur zurückgefahren und bin damit gut gefahren.
a)
Welche Vorteile bieten Drittanbieter Backuplösungen also inkl. AD-Agent im Vergleich zur Windows Server Sicherung?
Welche Vorteile bieten Drittanbieter Backuplösungen also inkl. AD-Agent im Vergleich zur Windows Server Sicherung?
Die einzigen Vorteile, die ich sehe am Beispiel Veeam sind,
- dass Du recht flott eine Maschine aus dem Backup wieder anfahren kannst
- Deduplizierung
- Du sicherst alles mit einer Technik
b)
Gibt es technische Funktionen im Hintergrund, die Drittanbieterlösung automatisch durchführen im Vergleich zur Windows Server Sicherung (Systemstatus, Bare-Metal, etc. für DCs)?
Gibt es technische Funktionen im Hintergrund, die Drittanbieterlösung automatisch durchführen im Vergleich zur Windows Server Sicherung (Systemstatus, Bare-Metal, etc. für DCs)?
Drittanbieterlösungen tun hier aus meiner Sicht nichts anderes, was die Windowssicherung nicht auch hinbekäme. Du kannst einen Exchangeserver durchaus mit Windowsbackup sichern, aber wenn Du granulare Sicherung/Recovery wünschst, dann wird es spannend.
Ich habe mich darauf festgelegt, dass Windowsbackup den Katastrophenfall durchaus einfangen kann, aber leichte Problemchen eben nicht. Um genauer zu sein: Server, die ich mit WB sichere, gehören bei mir zu der Klasse, die ich immer nur vollständig zurückfahren kann.
3.
a)
Müssen bestimmte DCs gesichert und wieder hergestellt werden oder kann dies irgendeiner in jeder Domäne > sein, um eine erfolgreiche Wiederherstellung einer Gesamtstruktur durchzuführen?
a)
Müssen bestimmte DCs gesichert und wieder hergestellt werden oder kann dies irgendeiner in jeder Domäne > sein, um eine erfolgreiche Wiederherstellung einer Gesamtstruktur durchzuführen?
Verzugsweise muss es mindestens ein intakter DC sein, der gesichert ist! Nimmst Du einen, der sich aus der Domäne geballert hat, ist es beinahe aus!
b)
Müssen besser alle DCs der Domäne wiederhergestellt werden, um eine Gesamtstruktur wieder lauffähig zu bekommen?
Müssen besser alle DCs der Domäne wiederhergestellt werden, um eine Gesamtstruktur wieder lauffähig zu bekommen?
Nach meiner Erfahrung nicht. Es reicht ein intakter aus (der muss aber wirklich intakt sein!), wie oben erwähnt.
Ich habe bisher immer nur einen wiederhergestellt, Fehler beseitigt, Rollen festgelegt, Replikation angepasst, dann einen neuen hinzugenommen. Wenn die sich fehlerfrei unterhielten, war die Domäne wieder klar.
4.
Welche Herangehensweise an eine AD Disasterplanung ist empfehlenswert um 80% der Notsituationen abzudecken?
Bsp:
- Nach Szenarien: DC pyhsisch ausgefallen, Virt. DC ausgefallen - je Domäne, AD DB defekt, etc. => dazu je die Verfahrensweise per Checkliste dokumentieren
- ?
Welche Herangehensweise an eine AD Disasterplanung ist empfehlenswert um 80% der Notsituationen abzudecken?
Bsp:
- Nach Szenarien: DC pyhsisch ausgefallen, Virt. DC ausgefallen - je Domäne, AD DB defekt, etc. => dazu je die Verfahrensweise per Checkliste dokumentieren
- ?
Ich würde eher so planen, dass es nicht zu solchen Szenarien kommt. Die von Dir aufgeführten Szenarien würden nämlich den Schluss erlauben, dass jemand ein Haus baut ohne Fundament.
Ich dachte mal darüber nach einen RODC als absoluten Failover für eine zerschossene AD DB aufzubauen, aber mit jeder aktiven Replikationsinstanz steigt auch das Risiko in meinen Augen.
Windowsbackup ist dafür gedacht und es funktioniert.
Ich würde dir raten, eine Testdomäne mit 2 DCs und einem Client in einem Hyper-V Privatenetwork zu erstellen und die zu recovern und damit zu testen um Vertrauen in die Methode zu fassen und zu sehen, welche Fehlermeldungen bei einer jungfräulichen Domäne zu erwarten (und damit normal) sind.
Ich würde dir raten, eine Testdomäne mit 2 DCs und einem Client in einem Hyper-V Privatenetwork zu erstellen und die zu recovern und damit zu testen um Vertrauen in die Methode zu fassen und zu sehen, welche Fehlermeldungen bei einer jungfräulichen Domäne zu erwarten (und damit normal) sind.
Hallo,
Ich habe genau deine Test schon mehrfach mit Windows Backup durchgeführt. Und aus meiner Erfahrung raus benötigst du bei einer Struktur mit mehr als 1 DC mind. zwei (idealerweise fsmo Inhaber und ein weiterer beliebiger). Liegt daran das der eine DC ja weiss das es noch andere gibt und nicht sicher ist ob er oder die anderen weg sind (mal ganz einfach gesagt). Außer du entfernst in deiner Testumgebung alle anderen hart raus.
Wie genau hast du den dc wiederhergestellt... einfach wb recover und los?
Mit freundlichen Grüßen Micha
Ich habe genau deine Test schon mehrfach mit Windows Backup durchgeführt. Und aus meiner Erfahrung raus benötigst du bei einer Struktur mit mehr als 1 DC mind. zwei (idealerweise fsmo Inhaber und ein weiterer beliebiger). Liegt daran das der eine DC ja weiss das es noch andere gibt und nicht sicher ist ob er oder die anderen weg sind (mal ganz einfach gesagt). Außer du entfernst in deiner Testumgebung alle anderen hart raus.
Wie genau hast du den dc wiederhergestellt... einfach wb recover und los?
Mit freundlichen Grüßen Micha
Hi,
man kann es so machen, dass man je Domäne nur einen DC sichert und dann im Falle eines Desaster Recovery damit das AD wieder lauffähig bekommt. Jedoch sollte man dann jene DC sichern, welche die GCs, DNS und FSMO bereitstellen.
In Deinem Testszenario wird das höchstwahrscheinlich nicht so sein, sodass er in der Testumgebung jetzt u.a. den fehlenden RID-Master einer der Domänen anmeckert. Also in der Testumgebung erst alle FSMO wieder bereitstellen. Ein GC und ein DNS-Server müssen verfügbar sein.
FSMO können auch durch "Übernahme" bereitgestellt werden.
E.
man kann es so machen, dass man je Domäne nur einen DC sichert und dann im Falle eines Desaster Recovery damit das AD wieder lauffähig bekommt. Jedoch sollte man dann jene DC sichern, welche die GCs, DNS und FSMO bereitstellen.
In Deinem Testszenario wird das höchstwahrscheinlich nicht so sein, sodass er in der Testumgebung jetzt u.a. den fehlenden RID-Master einer der Domänen anmeckert. Also in der Testumgebung erst alle FSMO wieder bereitstellen. Ein GC und ein DNS-Server müssen verfügbar sein.
FSMO können auch durch "Übernahme" bereitgestellt werden.
E.
