Odtwarzanie DSRM i Active Directory

Kiedy potrzebny jest tryb DSRM

Directory Services Restore Mode to specjalny tryb startowy systemu Windows Server, który uruchamia kontroler domeny bez ładowania usług Active Directory. Sięga się po niego wtedy, gdy baza danych NTDS jest uszkodzona lub gdy standardowy restart nie przywraca poprawnego działania domeny. Typowe sytuacje, w których pojawia się potrzeba pracy w DSRM:

– nieoczekiwana awaria kontrolera domeny po aktualizacji systemu lub sprzętu,
– masowe i nieumyślne usunięcie obiektów z AD (konta użytkowników, grupy, GPO, jednostki organizacyjne),
– replikacja, która propaguje uszkodzone dane na drugi lub kolejny kontroler,
– błąd migracji lub operacji Ntdsutil, który pozostawia bazę w niespójnym stanie,
– awaria storage, po której baza NTDS jest niekompletna lub nie uruchamia się,
– ransomware lub inne zdarzenie, które naruszyło integralność usług domenowych.

DSRM nie jest remedium na każdą awarię – to punkt startowy do dalszej diagnozy i decyzji o sposobie odtwarzania. Przed wykonaniem jakichkolwiek kroków konieczna jest ocena stanu środowiska.

Ryzyka przy odtwarzaniu Active Directory

Active Directory to centralny punkt uwierzytelniania w infrastrukturze firmy – awaria lub błędne odtwarzanie może zatrzymać dostęp do plików, poczty, aplikacji biznesowych i zdalnych połączeń VPN. Najpoważniejsze ryzyka, o których trzeba wiedzieć przed podjęciem działań:

Authoritative restore bez świadomości replikacji. Przywrócenie obiektu lub całej bazy w trybie autoryzacyjnym powoduje, że zmiana jest traktowana jako najświeższa i rozgłaszana na wszystkie kontrolery. Jeżeli drugi kontroler ma nowsze dane, które chcemy zachować, błędnie przeprowadzony restore może je nadpisać.

Brak aktualnego backupu System State. Bez kopii obejmującej stan systemu i bazę NTDS z okresu sprzed awarii restore jest niemożliwy lub niepełny. Kopie starsze niż tombstone lifetime domeny (domyślnie 180 dni) mogą być nieużyteczne lub wymagać dodatkowych kroków.

Jednak kontroler w środowisku produkcyjnym. Operacje Ntdsutil, seize ról FSMO lub wymuszony restart w DSRM wykonane na jedynym kontrolerze bez środowiska testowego niosą wysokie ryzyko nieodwracalnej utraty danych.

Powielone wpisy DNS i wygasłe bilety Kerberos. Po przywróceniu kontrolera konieczna jest weryfikacja stref DNS i ewentualne wyczyszczenie przestarzałych rekordów, a stacje robocze i serwery mogą wymagać wymuszenia odnowienia polityk grupowych.

Każdą interwencję zaczynam od oceny środowiska, a nie od natychmiastowego wykonywania komend.

Jak wygląda proces: zabezpieczenie, analiza, lab, restore, replikacja

Konkretny przebieg zależy od stanu środowiska, który mogę ocenić dopiero po rozmowie i diagnozie. Poniżej typowy schemat postępowania:

1. Zebranie informacji i ocena stanu
Przed jakimkolwiek działaniem na produkcji: ile kontrolerów domen jest w środowisku, który z nich jest niedostępny lub uszkodzony, jakie role FSMO są przypisane, kiedy była ostatnia kopia System State i gdzie jest przechowywana.

2. Zabezpieczenie istniejącego stanu
Jeżeli kontroler nadal uruchamia się w trybie normalnym lub DSRM, wykonuję zrzut stanu przed ingerencją. Minimalizuje to ryzyko pogłębienia szkód.

3. Ocena backupu i decyzja o rodzaju przywrócenia
Sprawdzam wiek i kompletność kopii. Na tej podstawie decyduję, czy restore będzie nieautoryzacyjny (przywraca dane, a replikacja uzupełnia nowsze zmiany) czy autoryzacyjny (gdy konkretne obiekty muszą być przywrócone jako wiążące mimo że na innych kontrolerach zostały usunięte lub zmienione).

4. Testy w środowisku izolowanym
Jeżeli czas pozwala i klient dysponuje zasobami do uruchomienia VM testowej, procedurę odtwarzania przeprowadzam najpierw w labie. Eliminuje to niespodzianki na produkcji.

5. Właściwy restore z użyciem Ntdsutil i wbudowanych narzędzi Windows Server
Uruchomienie kontrolera w DSRM, przywrócenie System State z Windows Server Backup lub innego narzędzia backupowego, ewentualne oznaczenie obiektów jako autoryzacyjnych przez Ntdsutil.

6. Weryfikacja replikacji i stanu domeny
Po restarcie sprawdzam stan replikacji (repadmin /replsummary, dcdiag), weryfikuję role FSMO, strefy DNS i logowanie klientów do domeny.

7. Dokumentacja i zalecenia
Opisuję co zostało zrobione, co należy monitorować po przywróceniu i co poprawić w procedurach backupu, żeby kolejny restore był szybszy i bezpieczniejszy.

Backupy AD i regularne testy DR

Najczęstsza przyczyna trudnych awarii AD nie jest brak wiedzy o odtwarzaniu – to brak aktualnego i przetestowanego backupu. Kopie, których nikt nie sprawdzał przez rok, często okazują się niekompletne lub przestarzałe dokładnie wtedy, kiedy są potrzebne.

Co powinien obejmować porządny backup Active Directory:

– System State na każdym kontrolerze domeny, przechowywany oddzielnie od maszyny źródłowej,
– częstotliwość kopii dostosowana do tempa zmian w AD (nowi użytkownicy, zmiany GPO, grupy),
– kopia nie starsza niż tombstone lifetime – by restore był możliwy bez wymagania usuwania obiektów lingering,
– przynajmniej jedna kopia przechowywana poza lokalizacją produkcyjną lub w izolowanej chmurze.

Co powinien obejmować test DR:

– faktyczne uruchomienie procedury restore w środowisku testowym lub VM,
– weryfikacja, że kontener backupu zawiera kompletny System State,
– sprawdzenie logowania klientów do domeny po przywróceniu,
– dokumentacja czasu i kroków, żeby w realnej awarii nie działać z pamięci pod presją czasu.

Pomagam firmom, które nigdy nie testowały swoich kopii AD, zaplanować i przeprowadzić pierwszy test DR w bezpiecznych warunkach. Jeżeli backup okaże się niekompletny, mamy czas na naprawę zanim wydarzy się prawdziwa awaria.

Czego nie obiecuję w awarii

Uczciwa odpowiedź na pytanie o szanse odtwarzania brzmi zawsze: nie wiem, zanim nie sprawdzę. W szczególności nie obiecuję:

– odtworzenia domeny, jeżeli nie ma aktualnego backupu System State – bez poprawnej kopii zakres możliwych działań jest mocno ograniczony,
– zachowania wszystkich obiektów i danych w każdym scenariuszu – niektóre kombinacje uszkodzeń i wieku kopii oznaczają konieczność akceptacji częściowej utraty zmian,
– konkretnego czasu zakończenia prac przed oceną środowiska – złożoność zależy od liczby kontrolerów, wersji Windows Server, stanu replikacji i rodzaju awarii,
– skuteczności bez etapu diagnozy – każda interwencja zaczyna się od rozmowy i analizy, nie od natychmiastowego działania na produkcji.

Jeżeli po diagnozie sytuacja wymaga specjalistycznego laboratorium odzysku danych z nośnika fizycznego, powiem o tym wprost i wskażę, na czym polega różnica.

Powiązane usługi

Odtwarzanie Active Directory jest jednym z elementów szerszej infrastruktury ochrony danych w firmie. W zależności od potrzeb pomagam też w:

– naprawianiu i testowaniu istniejących kopii zapasowych – gdy backup jest, ale nikt nie wie, czy działa poprawnie,
– konfiguracji środowisk wirtualizacyjnych Proxmox i Hyper-V – w tym snapshots VM i backupy kontrolerów domeny,
– budowaniu planu cyberbezpieczeństwa dla małej firmy – DSRM i restore to nie tylko awaria techniczna, ale też jeden z efektów ataku ransomware.

Linki do powiązanych usług: Naprawianie kopii zapasowych i testy odtwarzania, Konfiguracja Proxmox i Hyper-V, Cyberbezpieczeństwo małej firmy.