BAZA ZNANJA

Kurs: 6425: Rešavanje problema i konfiguracija Windows Server 2008 Active Directory Domain servisa

Modul: Implementacija plana za održavanje AD DS

Autor: Test Instruktor

Naziv jedinice: Bekapovanje AD DS

Backup proces direktorijuma u Windows Server 2008 se po mnogo čemu razlikuje od procesa koji se koristio u Windows Server 2003 i Windows 2000 serveru. Windows Server Backup i Wbadmin.exe menja raniju Backup alatku koja je poznata pod nazivom Ntbackup.exe. Nova alatkica ima sledeće promene u odnosu na staru alatku:

• Windows Server Backup i Wbadmin.exe nisu instalirani po defoltu. Administrator mora da instalira Windows Server Backup karakteristiku da bi koristio ove alatkice.
  
  
• Samo kompletni volumeni mogu da se Backup-uju (Full Volumes). Nema opcije koja nam dozvoljava da Backup-ujemo samo System State data, koja uključuje aktivni direktorijum. Potrebno je da Backup-ujemo kritične volumene da bismo Backup-ovali System State Data.
  
  
• Backup-i se odrađuju samo na disku ili na DVD-u. Windows Server Backup ne odrađuje Backup na trakama (Tape). Ako želimo da odradimo Backup na traci, moraćemo da koristimo Backup soluciju drugog proizvođača. Backup-e možemo da smestimo na lokalni disk, eksterni disk, udaljeni mrežni folder (Remote Share) ili na DVD.
  
  
• Backup-i se odrađuju mnogo brže nego ranije. Windows Server Backup odrađuje Volume Shadow Copy Service (VSS) Backup-e i prati promene u Block nivoima (Block level). Ovo povećava brzinu oba tipa Backup-a (Incremental & Full Backups).
  
  

System State Data je kolekcija konfiguracionih podataka na serveru. Ovi podaci su usko integrisani i moraju da se Backup-uju i restauriraju kao jedna jedinica (Single Unit). U Windows Server 2003 & Windows 2000 serveru, mogli smo da Backup-ujemo samo System State data. U Windows Server 2008, kada koristimo Windows Server Backup ili Wbadmin.exe, moramo da uradimo Backup za kritične volumene koji sadrže System State Data. U Windows Server Backup, opcija I want to be able to Perform A System Recovery Using This Backup koristi se da automatski slelektujemo sve kritične volumene na kojima se nalazi System State Data.

Kritični volumeni na serveru umnogome zavise od uloga servera koje su instaliranje na njemu. Sistemski volumen (System Volume) Host-uje Boot File-ove, kao što su Boot Configuration Data (BCD) store & Bootmgr, i on je kritični volumen. Boot volumen sa Windows operativnim sistemom je takođe kritični volumen. Volumeni koji Host-uju sledeće dodatne podatke su takođe kritični volumeni:

• SYSVOL direktorijum
• Active Directory bazu podataka i Log File-ove
• Registry
• COM+ Class Registration bazu podataka
• Active Directory Sertificate Services bazu podataka (Database)
• Cluster Service informacije
• System Files koji se nalaze pod Windows Resource Protection (zaštitom)
  
  

Windows Server 2008 poseduje Install From Media (IFM) karakteristiku, koja se može iskoristiti prilikom instalacije domenskih kontrolera. IFM koristi Restored kopiju (Restored Copy) aktivnog direktorijuma kao početnu tačku za replikaciju novog domenskog kontrolera umesto da replicira celu bazu podataka aktivnog direktorijuma. Ovo je korisna karakteristika za servere u manjim kancelarijama (Branch Office) koji su povezani sa konekcijama koje imaju malu propusnost (Low bandwidth connections). Backup set za IFM je kreiran koristeći Ntsutil, a ne korišćenjem Windows Server Backup ili Wbadmin.exe.

Članovi Administrators grupe i članovi Backup Operators grupe imaju sva potrebna prava koja su potrebna za odrađivanje ručnog Backup-a. Samo članovi Administrators grupe imaju potrebno pravo da odrađuju raspoređene Backup poslove (Scheduled Backup) i ovo pravo ne može da se delegira.

Potrebe prilikom Backup-a

Primarni metod za Backup aktivnog direktorijuma je replikacija na drugi domenski kontroler. Ako jedan od domenskih kontrolera u domenu padne, tada drugi domenski kontroler ima iste informacije i čini te informacije dostupnim klijentima prilikom Log-ovanja i prilikom kreiranja drugih upita. Da bismo ovo ostvarili potrebno je implementirati najmanje dva domenska kontrolera u svakom domenu.

Čak i kada su domenske informacije replicirane između domenskih kontrolera, na domenskom kontroleru bi ipak trebalo da se odrađuje regularni Backup. Možda ćemo morati da odradimo restauraciju postojećeg domenskog kontrolera ili aktivnog direktorijuma u sledećim situacijama:

• Aplikacije su konfigurisane da koriste specifični domenski kontroler: neke aplikacije su konfigurisane da koriste specifični domenski kontroler za pristup aktivnom direktorijumu. U tom slučaju, restauracija domenskog kontrolera izbegava potrebu za rekonfiguracijom aplikacije.
  
  
• Svi domenski kontroleri u domenu su izgubljeni: Ako se dogodi velika katakstrofa, kao što je na primer požar u zgradi, svi domenski kontroleri u domenu će biti izgubljeni. U ovom slučaju, aktivni direktorijum će morati da se restaurira iz   Backup-a.
  
  
• Objekti su obrisani: Ako je objekat aktivnog direktorijuma slučajno obrisan, onda ćemo moći da izvršimo restauraciju objekta iz Backup-a. U zavisnosti od broja objekata, ovaj proces može biti mnogo brži od ponovnog kreiranja objekata u aktivnom direktorijumu.

Tombstone Lifetime

Tombstone lifetime određuje koliko dugo obrisani objekat ostaje u aktivnom direktorijumu. Kao što je opisano u lekciji koja se bavila tematikom održavanja i nadgledanja aktivnog direktorijuma, kada je objekat aktivnog direktorijuma obrisan, većina atributa je uklonjeno, objekat je preimenovan, i objekat se pomera u Deleted objects kontejner. Ovaj objekat se nakon toga proglašava Tombstoned (mrtav). Ove promene se repliciraju na svim domenskim kontrolerima i Tombstone se uklanja iz aktivnog direktorijuma nakon isteka Tombstone Lifetime-a.

Jedino je Backup validan za dužinu Tombstone Lifetime-a koji je konfigurisan u aktivnom direktorijumu. Ne možemo da restauriramo Backup aktivnog direktorijuma koji je stariji od Tombstone Lifetime-a. Ovo osigurava da Nonauthoritative restauracije aktivnog direktorijuma funkcionišu kako treba. Na primer, ako Backup koji uključuje korisnika Marka koristimo za restauraciju domenskog kontrolera nakon što je objekat Marko obrisan, Deleted status za objekat Marko ostaje nepromenjen, zato što je Backup odrađen unutar Tombstone Lifetime konfiguracije za aktivni direktorijum. Ako je domenski kontroler restauriran nakon isteka Tombstone Lifetime-a, tada će Marko biti restauriran i Deleted status za objekat Marko neće postojati na domenskim kontrolerima prilikom replikacije. Objekat Marko će postati dugotrajan (Lingering) objekat koji egzistira u aktivnom direktorijumu čak i ako je bio obrisan. Rezlutat ovoga je nekonzistentnost aktivnog direktorijuma i objekat mora da bude uklonjen.

Tombstone Lifetime je konfigurisan za celu šumu aktivnog direktorijuma. Iznos za Tombstone Lifetime je smešten u tombstoneLifetime atribut CN=Directory Service, CN=Windows NT, CN=Services, CN=Configuration, DC=ForestRootDomain object. Defoltni iznos zavisi od operativnog sistema na kojem je šuma kreirana. Ovi iznosi se primenjuju samo prilikom kreiranja nove šume aktivnog direktorijuma. Ovi iznosi se ne modifikuju prilikom nadogradnje ili prilikom primenjivanja servis paketa (Service Packs). Možemo da modifikujemo defoltni iznos za Tombstone Lifetime koristeći ADSIEdit.msc.

Defoltni Tombstone za nove šume aktivnog direktorijuma:

 Tabela 33.1

Koliko često treba izvršavati Backup aktivnog direktorijuma

Mada Tombstone Lifetime postavlja ograničenja na frekventnost Backup-a, administrator bi trebalo da izvršava Backup za domenske kontrolere mnogo češće od Tombstone Lifetime-a. Mnogi problemi sa dodatkom Tombstone problema moraju da se razmotre ako pokušavamo da odradimo restauraciju domenskog kontrolera iz Backup-a koji je star više od nekoliko dana. Zbog toga što restauracija aktivnog direktorijuma uključuje sve informacije na kritičnim volumenima, ove informacije će biti restaurirane u ranije stanje. Ako server ima instaliranu Active Directory Certificate Services ulogu, bilo koji sertifikat koji smo iznajmili od poslednjeg Backup-a neće biti uključen u Active Directory Certificate Services bazu podataka. Ako imamo ažurirane Driver-e ili instaliranu bilo koju aplikaciju, ona možda neće raditi zato što je Registry Rollback-ovan u ranije stanje. Skoro sve kompanije koriste Backup Regimen u kom se bar neki od servera Backup-uje svako veče. Domenski kontroleri bi trebalo da budu deo svakodnevnog ili svakonoćnog Backup-a.