Determinar como recuperar a floresta

aplica-se a: O Windows Server 2022, Windows Server 2019, Windows Server 2016, Windows Server 2012 e de 2012 R2, Windows Server 2008 e 2008 R2

Recuperar toda uma floresta do Active Directory, envolve tanto a restaurar a partir de backup ou reinstalação de Serviços de Domínio Active Directory (AD DS) em cada controlador de domínio (DC) na floresta. Recuperar a floresta restaura cada domínio da floresta ao seu estado no momento do último backup confiável. Consequentemente, a operação de restauração resultará na perda de pelo menos os seguintes dados do Active Directory:

• Todos os objetos (como usuários e computadores) que foram adicionados após a última confiáveis de backup
• Todas as atualizações que foram feitas para objetos existentes desde a última confiáveis de backup
• Todas as alterações que foram feitas para a partição de configuração ou a partição de esquema do AD DS (tais como alterações de esquema) desde a última confiáveis de backup

Para cada domínio na floresta, a palavra-passe de uma conta de Administrador de Domínio deve ser conhecido. De preferência, esta é a senha da conta de administrador embutida. Você também deve saber a senha DSRM para executar uma restauração do Estado do sistema de um DC. Em geral, é uma boa prática arquivar a conta de administrador e o histórico de senhas DSRM em um local seguro enquanto os backups forem válidos, ou seja, dentro do período de vida útil da lápide ou dentro do período de vida útil do objeto excluído se a lixeira do Active Directory estiver ativada. Você também pode sincronizar a senha DSRM com uma conta de usuário de domínio, a fim de torná-lo mais fácil de lembrar. Para obter mais informações, consulte o artigo 961320 da KB. A sincronização da conta DSRM deve ser feita antes da recuperação da floresta, como parte da preparação.

determinando quais backups usar

Faça backup de pelo menos dois DCs graváveis para cada domínio regularmente, para que você tenha vários backups para escolher. Observe que você não pode usar o backup de um controlador de domínio somente leitura (RODC) para restaurar um DC gravável. Recomendamos que você restaure o DCs usando backups que foram feitos alguns dias antes da ocorrência da falha. Em geral, você deve determinar uma troca entre o recentness e a segurança dos dados restaurados. A escolha de um backup mais recente recupera dados mais úteis, mas pode aumentar o risco de reintroduzir dados perigosos na floresta restaurada.

restaurar backups do Estado do sistema depende do sistema operacional original e do servidor do backup. Por exemplo, você não deve restaurar um backup do Estado do sistema para um servidor diferente. Nesse caso, você pode ver o seguinte aviso:

“o backup especificado é de um servidor diferente do atual. Não recomendamos executar uma recuperação do Estado do sistema com o backup para um servidor alternativo porque o servidor pode se tornar inutilizável. Tem certeza de que deseja usar esse backup para recuperar o servidor atual?”

se você precisar restaurar o Active Directory para hardware diferente, crie backups completos do servidor e planeje executar uma recuperação completa do servidor.

se o tempo de ocorrência da falha for desconhecido, investigue mais para identificar backups que mantêm o último estado seguro da floresta. Essa abordagem é menos desejável. Portanto, recomendamos fortemente que você mantenha registros detalhados sobre o estado de saúde da AD DS diariamente para que, se houver uma falha em toda a floresta, O tempo aproximado de falha possa ser identificado. Você também deve manter uma cópia local de backups para permitir uma recuperação mais rápida.

se a lixeira do Active Directory estiver ativada, a vida útil do backup será igual ao valor deletedObjectLifetime ou ao valor tombstoneLifetime, o que for menor. Para obter mais informações, consulte Guia Passo a passo da lixeira do Active Directory (https://go.microsoft.com/fwlink/?LinkId=178657).

como alternativa, você também pode usar a Ferramenta de montagem de banco de dados do Active Directory (Dsamain.exe) e uma ferramenta Lightweight Directory Access Protocol (LDAP), como Ldp.exe ou Active Directory usuários e computadores, para identificar qual backup tem o último estado seguro da floresta. A Ferramenta de montagem de banco de dados do Active Directory, incluída nos sistemas operacionais Windows Server 2008 e posteriores do Windows Server, expõe os dados do Active Directory armazenados em backups ou instantâneos como um servidor LDAP. Em seguida, você pode usar uma ferramenta LDAP para navegar pelos dados. Essa abordagem tem a vantagem de não exigir que você reinicie qualquer DC no modo de restauração de Serviços de diretório (DSRM) para examinar o conteúdo do backup do AD DS.

para obter mais informações sobre como usar a Ferramenta de montagem de banco de dados do Active Directory, consulte o Guia Passo a Passo Da Ferramenta de montagem de banco de dados do Active Directory.

você também pode usar o comando ntdsutil snapshot para criar instantâneos do banco de dados do Active Directory. Ao agendar uma tarefa para criar instantâneos periodicamente, você pode obter cópias adicionais do banco de dados do Active Directory ao longo do tempo. Você pode usar essas cópias para identificar melhor quando ocorreu a falha em toda a floresta e, em seguida, Escolher o melhor backup para restaurar. Para criar instantâneos, use a versão do ntdsutil fornecida com o Windows Server 2008 ou as ferramentas de administração do Servidor Remoto (RSAT) para Windows Vista ou posterior. O DC de destino pode executar qualquer versão do Windows Server. Para obter mais informações sobre como usar o comando ntdsutil snapshot, consulte Snapshot.

determinar quais controladores de domínio restaurar

a facilidade do processo de restauração é um fator importante ao decidir qual controlador de domínio restaurar. Recomenda-se ter um DC dedicado para cada domínio que é o DC preferido para uma restauração. Um DC de restauração dedicado facilita o planejamento e a execução confiáveis da recuperação florestal porque você usa a mesma configuração de origem usada para realizar testes de restauração. Você pode rotear a recuperação e não lidar com configurações diferentes, como se o DC possui funções mestre de operações ou não, ou se é um servidor GC ou DNS ou não.

escolha um DC que melhor atenda aos seguintes critérios:

• um DC que é gravável. Isso é obrigatório.

• um DC executando o Windows Server 2012 como uma máquina virtual em um hipervisor que suporta VM-GenerationID. Este DC pode ser usado como uma fonte para clonagem.

• um DC acessível, fisicamente ou em uma rede virtual, e preferencialmente localizado em um datacenter. Dessa forma, você pode isolá-lo facilmente da rede durante a recuperação da floresta.

• um DC que tem um bom backup completo do servidor. Um bom backup é um backup que pode ser restaurado com sucesso, foi feito alguns dias antes da falha e contém o máximo de dados úteis possível.

• um DC que era um servidor DNS (Domain Name System) antes da falha. Isso economiza o tempo necessário para reinstalar o DNS.

• se você também usar os Serviços de implantação do Windows, Escolha um DC que não esteja configurado para usar o BitLocker Network Unlock. Nesse caso, o BitLocker Network Unlock não é compatível para ser usado para o primeiro DC que você restaura do backup durante uma recuperação florestal.

  BitLocker Network Unlock como o único protetor de chave não pode ser usado em DCs onde você implantou o Windows Deployment Services (WDS) porque isso resulta em um cenário em que o primeiro DC requer que o Active Directory e o WDS estejam funcionando para desbloquear. Mas antes de restaurar o primeiro DC, o Active Directory ainda não está disponível para WDS, portanto, não pode ser desbloqueado.

  para determinar se um DC está configurado para usar o BitLocker Network Unlock, verifique se um certificado de desbloqueio de rede está identificado na seguinte chave de registro:

  HKEY_LOCAL_MACHINESoftwarePoliciesmicrosoftsystemcertificatesfve_nkp

manter procedimentos de segurança ao manipular ou restaurar arquivos de backup que incluem o Active Directory. A urgência que acompanha a recuperação florestal pode levar involuntariamente a negligenciar as melhores práticas de segurança. Para obter mais informações, consulte a seção intitulada “estabelecendo estratégias de Backup e Restauração do controlador de domínio” no Guia de melhores práticas para proteger instalações do Active Directory e Operações do dia-a-dia: Parte II.

identifique a estrutura florestal atual e as funções DC

Determine a estrutura florestal atual identificando todos os domínios da floresta. Faça uma lista de todos os DCs em cada domínio, particularmente os DCs que possuem backups, e DCS virtualizados que podem ser uma fonte para clonagem. Uma lista de DCs para o domínio raiz da floresta será a mais importante porque você recuperará este domínio primeiro. Depois de restaurar o domínio raiz da floresta, você pode obter uma lista dos outros domínios, DCs e sites na floresta usando snap-ins do Active Directory.

Prepare uma tabela que mostre as funções de cada DC no domínio, conforme mostrado no exemplo a seguir. Isso ajudará você a reverter para a configuração de pré-falha da floresta após a recuperação.

Para cada domínio na floresta, identificar um único DC gravável que tem um confiável backup do banco de dados Active Directory para o domínio. Tenha cuidado ao escolher um backup para restaurar um DC. Se o dia e a causa da falha forem aproximadamente conhecidos, a recomendação geral é usar um backup que foi feito alguns dias antes dessa data.

neste exemplo, existem quatro candidatos de backup: DC_1, DC_2, DC_4 e DC_5. Desses candidatos de backup, você restaura apenas um. O DC recomendado é DC_5 pelas seguintes razões:

• ele satisfaz os requisitos para usá-lo como uma fonte para clonagem DC virtualizada, ou seja, ele executa o Windows Server 2012 como um DC virtual em um hipervisor que suporta VM-GenerationID, executa um software que pode ser clonado (ou que pode ser removido se não puder ser clonado). Após a restauração, a função de emulador PDC será apreendida nesse servidor e pode ser adicionada ao grupo de controladores de domínio Clonáveis para o domínio.
• ele executa uma instalação completa do Windows Server 2012. Um DC que executa uma instalação do núcleo do servidor pode ser menos conveniente como um alvo para recuperação.
• é um servidor DNS. Portanto, o DNS não precisa ser reinstalado.

recupere a floresta isoladamente

o cenário preferido é desligar todos os DCs graváveis antes que o primeiro DC restaurado seja trazido de volta à produção. Isso garante que quaisquer dados perigosos não se replicem de volta para a floresta recuperada. É particularmente importante encerrar todos os detentores de funções principais de operações.

se você estiver executando DCs virtualizados, poderá movê-los para uma rede virtual isolada da rede de produção, onde você executará a recuperação. Mover DCs virtualizados para uma rede separada oferece dois benefícios:

• os DCs recuperados são impedidos de ocorrer novamente o problema que causou a recuperação da floresta porque estão isolados.
• a clonagem DC virtualizada pode ser realizada na rede separada para que um número crítico de DCs possa ser executado e testado antes de serem trazidos de volta à rede de produção.

se você estiver executando DCs em hardware físico, desconecte o cabo de rede do primeiro DC que você planeja restaurar no domínio raiz da floresta. Se possível, desconecte também os cabos de rede de todos os outros DCs. Isso evita que os DCs se replicem, se forem iniciados acidentalmente durante o processo de recuperação florestal.

em uma grande floresta que está espalhada por vários locais, pode ser difícil garantir que todos os DCs graváveis sejam desligados. Por esse motivo, as etapas de recuperação—como redefinir a conta do computador e a conta krbtgt, além da limpeza de metadados—são projetadas para garantir que os DCs graváveis recuperados não se replicem com DCs graváveis perigosos (caso alguns ainda estejam online na floresta).

no entanto, apenas ao colocar DCS graváveis offline, você pode garantir que a replicação não ocorra. Portanto, sempre que possível, você deve implantar tecnologia de gerenciamento remoto que pode ajudá-lo a desligar e isolar fisicamente o DCS gravável durante a recuperação florestal.Os RODCs podem continuar a operar enquanto os DCs graváveis estão offline. Nenhum outro DC replicará diretamente quaisquer alterações de qualquer RODC-especialmente, sem alterações de esquema ou contêiner de configuração—para que elas não representem o mesmo risco que DCS graváveis durante a recuperação. Depois que todos os DCs graváveis são recuperados e online, você deve reconstruir todos os RODCs.Os RODCs continuarão a permitir o acesso a recursos locais que são armazenados em cache em seus respectivos sites enquanto as operações de recuperação estão acontecendo em paralelo. Os recursos locais que não são armazenados em cache no RODC terão solicitações de autenticação encaminhadas para um DC gravável. Essas solicitações falharão porque os DCs graváveis estão offline. Algumas operações, como alterações de senha, também não funcionarão até que você recupere DCs graváveis.

se você estiver usando uma arquitetura de rede hub-and-spoke, você pode se concentrar primeiro na recuperação do DCS gravável nos sites hub. Mais tarde, você pode reconstruir os RODCs em locais remotos.

• ANÚNCIO de Recuperação de Florestas – pré-Requisitos
• ANÚNCIO de Recuperação de Floresta – a Elaboração de um personalizado floresta plano de recuperação
• ANÚNCIO de Recuperação de Florestas – Identificar o problema
• ANÚNCIO de Recuperação de Florestas – Determinar como recuperar
• ANÚNCIO de Recuperação de Florestas – Realizar a recuperação inicial
• ANÚNCIO de Recuperação de Florestas – Procedimentos
• ANÚNCIO de Recuperação de Florestas – Perguntas Frequentes
• Floresta do AD Recuperação – a Recuperação de um Único Domínio, dentro de uma Floresta com vários domínios
• Floresta do AD Recovery – Recuperação da Floresta com o Windows Server 2003 Controladores de Domínio