Consejos de copia de seguridad de Active Directory para la recuperación ante desastres - Administración de plataformas de Microsoft - Blogs - Quest Community

Elegir la metodología de copia de seguridad de Active Directory adecuada es crucial para un plan de recuperación ante desastres exitoso. Hay tres formas principales de realizar una copia de seguridad de Active Directory:

Copias de seguridad de Active Directory : las copias de seguridad de Active Directory son la piedra angular de la recuperación en todos los niveles de recuperación de Active Directory, desde la restauración granular de un objeto o atributo particular que se eliminó o modificó incorrectamente hasta la restauración de un único controlador de dominio ( DC) que sufrieron corrupción, hasta restaurar todos los DC en un bosque en un verdadero escenario de recuperación de desastres.
Copias de seguridad de recuperación completa (BMR): : la recuperación completa le permite restaurar su bosque de Active Directory en diferentes instancias de hardware en caso de corrupción física de todos los controladores de dominio, datos de dominio o servicios debido a ransomware u otro desastre. .
Copias de seguridad de Azure AD : Los accidentes y la actividad maliciosa no ocurren solo en las instalaciones. Por lo tanto, en entornos híbridos de AD, un plan completo de recuperación ante desastres de TI debe incluir una estrategia de respaldo para objetos y atributos exclusivos de la nube, que no están adecuadamente protegidos por las herramientas nativas de Microsoft ni cubiertos por ninguna solución de respaldo de AD local.

Esta publicación explora cada una de estas opciones de respaldo en detalle y lo ayuda a determinar cuál es la adecuada para usted y en qué circunstancias. También explica cómo Recovery Manager para Active Directory Disaster Recovery Edition le brinda la estabilidad, las opciones y la flexibilidad que necesita para una planificación de recuperación ante desastres de TI verdaderamente integral.

Copias de seguridad de directorio activo

Las copias de seguridad de AD son la base para la recuperación de Active Directory, ya sea que necesite restaurar un solo objeto, atributo o DC, o necesite una recuperación completa ante desastres de un bosque completo. Cabe señalar que las copias de seguridad de AD no son lo mismo que las copias de seguridad del estado del sistema operativo, que respaldan todo el sistema operativo, no solo las piezas y partes de Active Directory.

Las copias de seguridad de AD involucran una variedad de componentes de los controladores de dominio de Active Directory, incluido el directorio NTDS, SYSVOL (que contiene políticas de grupo y scripts de inicio de sesión) y aspectos del registro que tienen que ver con Active Directory.

Copias de seguridad de AD automatizadas y confiables

El portafolio Quest Recovery Manager para Active Directory simplifica y automatiza el proceso de configuración de copias de seguridad de AD. Desde un asistente fácil de usar, puede especificar qué controladores de dominio o hosts AD LDS (ADAM) desea respaldar, ya sea un conjunto de controladores de dominio en particular o todas las computadoras en un dominio o unidad organizativa de Active Directory específico. También puede iniciar la creación de copias de seguridad inmediatamente o configurar una programación de copias de seguridad. Se recomienda que haga una copia de seguridad de sus controladores de dominio al menos una vez al día. En cualquier caso, asegúrese de hacer una copia de seguridad de todos los controladores de dominio cada vez que realice cambios importantes en su entorno.

Debido a que las copias de seguridad de AD son más pequeñas que las copias de seguridad de BMR, generan menos tráfico de red y pueden analizarse más rápidamente en busca de malware. Además, no contienen binarios (a excepción de los archivos Sysvol), por lo que es menos probable que contengan virus. Tenga en cuenta que Recovery Manager para Active Directory puede analizar las copias de seguridad de AD en busca de malware y virus.

Opciones de recuperación flexibles

¿Cómo se pueden utilizar las copias de seguridad de AD? Recovery Manager le brinda flexibilidad en su plan de recuperación ante desastres. Tu puedes elegir:

Dónde restaurar: : puede restaurar en un sistema operativo limpio en cualquier máquina, ya sea una máquina física, una máquina virtual local o una máquina virtual alojada en la nube.
Qué controladores de dominio restaurar primero : puede restaurar todos los controladores de dominio en cada dominio a la vez o realizar una recuperación por fases en la que restaure un controlador de dominio en cada dominio para obtener una parte importante. de su negocio se recupere rápidamente y luego promueva los otros DC (consulte mi próxima publicación sobre este tema).
Cómo instalar : puede instalar mediante replicación (lo que puede tardar horas o incluso días) o instalar desde un medio (IFM) para acelerar la operación y reducir el tráfico de la red. Recovery Manager incluso ofrece IFM masivo, que elimina el proceso lento y propenso a errores de escribir un comando para cada operación de instalación.

Copias de seguridad de recuperación completa (BMR)

En muchas organizaciones, la recuperación ante desastres es un esfuerzo de equipo. Si bien los administradores de AD desempeñan un papel fundamental, deben confiar en otros equipos que son responsables del sistema operativo, las aplicaciones en el servidor y la red (que brindan una nueva dirección DNS y conectividad de red). Sin embargo, en algunas organizaciones, el administrador de AD tiene autoridad total para realizar copias de seguridad y restaurar por su cuenta.

Si tiene la autoridad para realizar copias de seguridad y restaurar todo su servidor AD, las copias de seguridad BMR pueden ser una excelente opción para ciertos tipos de recuperación ante desastres. En caso de corrupción física de todos los controladores de dominio, datos de dominio o servicios debido a ransomware u otras causas, puede restaurar su bosque de Active Directory en diferentes instancias de hardware utilizando su copia de seguridad BMR combinada con la copia de seguridad AD estándar.

Copia de seguridad y recuperación automatizadas de BMR

Recovery Manager para Active Directory Disaster Recovery Edition automatiza la copia de seguridad y la recuperación de BMR. El proceso de copia de seguridad utiliza Microsoft Windows Server Backup, que está incluido en su licencia de Windows Server. De forma predeterminada, Recovery Manager incluye solo volúmenes críticos en las copias de seguridad de BMR (como el volumen de la base de datos de Active Directory, el volumen SYSVOL y el volumen del sistema operativo), pero puede optar por incluir también otros volúmenes, ya sea en todos los DC o solo en algunos DC.

Dado que las copias de seguridad de BMR incluyen el sistema operativo, son enormes (a menudo de 20 GB o más) y no se pueden comprimir. La mejor práctica es crear copias de seguridad de BMR solo una vez por semana para minimizar los requisitos de almacenamiento.

Con Recovery Manager, en caso de fallas críticas (como fallas de hardware de DC o malware), puede usar su copia de seguridad BMR más reciente y sus copias de seguridad AD más recientes para restaurar rápidamente todo su bosque de Active Directory en máquinas básicas sin ningún sistema operativo instalado.

Copias de seguridad de Azure AD

A medida que su organización adopta la nube, es fundamental comprender qué cubre y qué no cubre su solución de recuperación ante desastres local cuando Active Directory se sincroniza con Azure AD (AAD). Así como existen atributos solo locales, existen muchos objetos y atributos solo en la nube. Por ejemplo, cada usuario de AAD tiene un tipo de licencia de Office 365 que determina qué funciones de Office 365 tiene derecho a utilizar. Si se elimina ese objeto de usuario, puede recuperar el objeto de usuario de AD local y usar Azure AD Connect para sincronizarlo nuevamente con AAD, pero el atributo de tipo de licencia desaparecerá, lo que dejará al usuario incapaz de trabajar en la nube hasta que usted resolver el problema manualmente.

Si confía en herramientas nativas para realizar copias de seguridad y recuperación, estos son algunos de los errores a tener en cuenta:

Algunos objetos no se pueden recuperar, como grupos de AAD, membresías de grupos y usuarios eliminados definitivamente.
Sólo se pueden recuperar objetos eliminados recientemente (dentro de los últimos 30 días).
Algunos atributos no se pueden recuperar, como la configuración de MFA y las políticas de acceso condicional.
La restauración masiva no se puede realizar sin un script de PowerShell.
No existe un registro de cambios de AAD ni un informe de comparación para ayudar a determinar qué es necesario restaurar.

Copias de seguridad integrales de Azure AD para restauraciones híbridas

Recovery Manager para Active Directory se integra con On Demand Recovery para ofrecer una solución híbrida completa de respaldo y recuperación que le brinda tranquilidad:

Recovery Manager para Active Directory cubre los objetos locales, incluido todo lo que sincronice con la nube con Azure AD Connect.
On Demand Recovery cubre el resto, incluidos objetos y atributos solo en la nube no sincronizados por Azure AD Connect, incluida la configuración de MFA, políticas de acceso condicional, membresías en grupos solo en la nube y más.

Obtiene una integración perfecta con una funcionalidad de recuperación integral. Desde un único panel, puede ver objetos híbridos y solo en la nube, ejecutar informes de diferencias para determinar exactamente qué cambios o eliminaciones ocurrieron, restaurar cualquier objeto o atributo y más.

Haga una copia de seguridad de Active Directory con una solución que le brinde opciones, flexibilidad y estabilidad

Como hemos visto, Recovery Manager para Active Directory Disaster Recovery Edition le ofrece opciones sobre qué tipos de copias de seguridad realizar (copia de seguridad AD y BMR), junto con la flexibilidad que necesita para elegir el mejor tipo de recuperación para un escenario de desastre determinado. Además, Recovery Manager ofrece muchos otros beneficios, incluidos los siguientes:

Gestión del ciclo de vida de las copias de seguridad

Recovery Manager puede crear copias de seguridad de AD y BMR para cualquier controlador de dominio de Active Directory en la red de forma regular sin interrumpir el funcionamiento del DC. Puede organizar sus DC en colecciones y establecer tanto la frecuencia de las copias de seguridad como las horas permitidas durante las cuales se puede ejecutar el proceso de copia de seguridad. De esa manera, puede configurar un programa de respaldo para cada colección según la frecuencia de las actualizaciones del almacén de datos del directorio.

También puede configurar una política de retención para cada colección que especifique cuántas copias de seguridad se retienen. Por ejemplo, según los requisitos de su organización, puede conservar las cinco u ocho copias de seguridad más recientes. Las copias de seguridad más antiguas se eliminan automáticamente.

Ubicaciones de almacenamiento de respaldo

Puede elegir dónde almacenar sus copias de seguridad de AD y BMR para mejorar tanto el rendimiento como la seguridad. En particular, no es necesario almacenar todas las copias de seguridad de AD en un único repositorio; Puede utilizar varios repositorios, quizás basados en la topología del sitio, para que su implementación sea más compatible con WAN. Puede separar sus copias de seguridad y crear un servidor de almacenamiento reforzado que esté protegido por dos agentes, lo que lo convierte en un Fort Knox virtual.

Cifrado de respaldo

Además de restringir el acceso a las copias de seguridad, Recovery Manager también puede cifrarlas. Específicamente, la contraseña que especifique se utiliza para generar una frase de contraseña con la que se cifra la copia de seguridad. La contraseña no se puede utilizar directamente para desbloquear el archivo vhd(x) del contenedor de respaldo. Las copias de seguridad se cifran con cifrado AES-256. Específicamente, para las copias de seguridad de AD, Recovery Manager utiliza Microsoft Enhanced RSA y AES Cryptographic Provider, mientras que para las copias de seguridad de BMR, utiliza un disco duro virtual cifrado con BitLocker Drive Encryption como contenedor para la copia de seguridad.

Detección de malware

Recovery Manager para Active Directory Disaster Recovery Edition utiliza Windows Defender Antivirus para escanear las copias de seguridad de BMR en busca de malware como parte del proceso de verificación.

Opciones flexibles

La recuperación de AD no es una propuesta única para todos. Necesita una solución que respete sus prioridades particulares, incluidos qué datos y aplicaciones son más críticos, así como las condiciones únicas de un escenario de desastre determinado, como qué centros de datos o regiones se ven afectados y cuánto daño se produjo. Recovery Manager ofrece esa flexibilidad.