1. 1 Введення в резервне копіювання Active Directory ІТ компаніям постійно потрібні різного роду рішення...
2. 3 Глосарій бекапа Active Directory і LDAP
3. 4 Модуль Directory Server в Bacula Enterprise Edition
4. 4.1 Подмодуль бекапа LDAP
5. 4.2 Подмодуль MSAD
6. 5 Приклади FileSet для резервного копіювання Active Directory
7. 6 Підготовка до бекапіть LDAP
8. 7 Резервне копіювання Active Directory і LDAP
9. 8 Перевірка FileSet
10. 9 Відновлення
11. 10 Варіанти відновлення Active Directory
12. 10.1 Відновлення Active Directory
13. 10.1.1 Якщо видаляється об'єкта з контейнера
14. 10.1.2 Відновлення memberOf
15. 10.1.3 Відновлення userAccountControl
16. 10.1.4 sAMAccountName
17. 11 Використання VSS при бекапе Active Directory
18. 11.1 Як відновіті заводські призначення для користувача файлів
19. 11.2 Відновлення на «голе залізо»
20. 11.3 Відновлення даних на рівні додатків за допомогою VSS модуля
21. 12 Висновок

1 Введення в резервне копіювання Active Directory

ІТ компаніям постійно потрібні різного роду рішення для резервного копіювання, що гарантують низьку вартість володіння відповідним ПО. До того ж, багато обчислювальні середовища, побудовані на базі серверів LDAP і Microsoft Active Directory, є досить складні архітектури, що в умовах підвищеного навантаження змушує ІТ фахівців шукати ефективні рішення для резервного копіювання та відновлення даних.

Даний документ містить кілька рішень, що дозволяють виконувати сконфигурированное резервне копіювання і відновлення даних серверів Directory, включаючи Active Directory, за допомогою модуля LDAP / MS Active Directory компанії Bacula Systems і / або за допомогою модуля VSS, що є частиною Bacula Enterprise Edition 10. Компанія Bacula Systems поставляє рішення, що дозволяють підтримувати роботу LDAP серверів, а також спеціалізовані рішення для підтримки Microsoft Active Directory і рішення, які можуть бути застосовані на випадок аварійного резервного копіювання, а також для відновлення даних на рівні окремих об'єктів.

Для LDAP і Active Directory ПО Bacula Enterprise Edition пропонує наступні рішення:

• 'File Daemon' (FD) і модуль VSS (а також інструмент для відновлення систем «на голе залізо») від Bacula дозволяє виконувати швидке відновлення даних системи і Active Directory на рівні окремих компонентів;
• VSS модуль Bacula Enterprise Edition використовується для швидкого відновлення даних на рівні додатків;
• MSAD модуль Bacula Enterprise Edition дозволяє пооб'єктно відновлювати дані LDAP з Active Directory. Дане рішення не є частиною процесу аварійного відновлення, проте, воно ідеально підходить для відновлення даних в результаті інцидентів, викликаних помилками користувача або відмовою ПО (за оцінками Bacula 90% випадків втрати даних LDAP відбуваються з вини користувача або в результаті збою ПО)
• LDAP модуль Bacula Enterprise Edition може використовуватися для роботи з будь-якими службами LDAP (наприклад, для резервного копіювання та відновлення даних Novell / SUSEs eDirectory, openLDAP, DS389, і т.д.). Модуль є незамінним інструментів будь-якої схеми резервного копіювання та відновлення даних в середовищах, що використовують каталоги LDAP для управління даними.

Плагін Directory Server Bacula Enterprise Edition включає в себе два підмодуля: LDAP і MSAD. Обидва підмодуля дозволяють створювати бекапи і відновлювати дані на рівні об'єктів.

2 Загальне уявлення про Bacula Enterprise

Bacula Enterprise Edition складається з 5 основних компонентів:

Служба Director контролює всі дії по створенню резервних копій, відновлення, перевірці та архівування даних.

Служба Storage Deamon є ПО, яке зберігає атрибути файлів і даних на фізичних носіях.

Служба File Daemon або Client встановлюється на кожній машині, бекап якої необхідно створити.

Служба Catalog відповідає за збереження індексів файлів, резервні копії яких були створені.

Служба Consoles дозволяє користувачеві взаємодіяти зі службою Director. Службою можна користуватися через текстову консоль (BConsole) або через веб-інтерфейс (BWeb Management Suite).

Більш детальна інформація викладена в основному керівництві. Нижче наведена архітектура, яка містить основні компоненти Bacula Enterprise.

Архітектура Bacula Enterprise Edition

3 Глосарій бекапа Active Directory і LDAP

Active Directory - служба каталогів (MSAD) Microsoft для доменних мереж Windows. Включена в більшість серверних ОС Windows.

LDAP - спрощений протокол доступу до каталогів, прикладної протокол для доступу і підтримки роботи інформаційних служб розподілених каталогів через IP мережі.

Tombstone - віддалений об'єкт AD, невидимий при здійсненні стандартних операцій з каталогами.

DN - унікальне ім'я об'єкта, повний шлях до об'єкта в дереві.

File Daemon і плагін Directory Server Bacula можна встановлювати на будь-якому хості Linux, що має доступ до захищених LDAP або MSAD серверів. Установка плагіна MSAD на Windows Server не підтримує належним чином.

Active Directory - служба каталогів (MSAD) Microsoft для доменних мереж Windows. Включена в більшість серверних ОС Windows.

LDAP - спрощений протокол доступу до каталогів, прикладної протокол для доступу і підтримки роботи інформаційних служб розподілених каталогів через IP мережі.

Tombstone - віддалений об'єкт AD, невидимий при здійсненні стандартних операцій з каталогами.

DN - унікальне ім'я об'єкта, повний шлях до об'єкта в дереві.

File Daemon і плагін Directory Server Bacula можна встановлювати на будь-якому хості Linux, що має доступ до захищених LDAP або MSAD серверів. Установка плагіна MSAD на Windows Server не підтримує належним чином.

4 Модуль Directory Server в Bacula Enterprise Edition

Модуль Directory Server складається з подмодулей LDAP і MS Active Directory (MSAD).

4.1 Подмодуль бекапа LDAP

Модуль резервного копіювання LDAP розроблений для здійснення резервного копіювання та відновлення на рівні LDAP об'єктів. Модуль використовує мережевий протокол LDAP і стандартну схему для пошуку і вибору об'єктів. Модуль підтримує безліч різних LDAP серверів. Модуль Directory Server в якості «підмодуля» Bacula Enterprise Edition дозволяє виконувати наступні основні функції щодо LDAP серверів:

• Підтримувати такі рівні резервного копіювання: повний, диференційний, інкрементальний
• Підтримувати режим точного резервного копіювання (знаходить віддалені об'єкти)
• Правильно зберігає в каталозі розмір і час зміни файлів
• Дозволяє переміщати об'єкти під час відновлення
• Підтримує внутрішній формат архівування типу LDIF
• Підтримує функції заміни: always, never, ifnewer, ifolder
• Дозволяє підключатися до серверів LDAP з мережевого протоколу LDAP
• Підтримує безпечне з'єднання ldaps (SSL) з сервером LDAP
• Підтримує режим прослуховування для перегляду об'єктів безпосередньо через консоль Bacula
• Створено і протестований на Linux.

4.2 Подмодуль MSAD

Модуль резервного копіювання Active Directory розроблений для здійснення резервного копіювання та відновлення на рівні одиночних об'єктів MS Active Directory. Бекап Active Directory Server використовує мережевий протокол LDAP і схему Active Directory Schema для пошуку і відновлення об'єктів. Візьміть до уваги те, що незважаючи на те, що модуль створює бекапи Microsoft Active Directory, зараз він може запускатися тільки на Linux і Unix машинах. Модуль MSAD створений і протестований на Linux з використанням мережевого підключення до сервера Microsoft Active Directory. На даний момент версія модуля MSAD для Windows відсутній. Подмодуль MSAD дозволяє використовувати такі додаткові функції для серверів Active Directory:

• Підтримує сервера MS Active Directory (з Windows 2003 до Windows 2016)
• Підключається до сервера MS Active Directory по протоколу LDAP
• Дозволяє відновлювати видалені об'єкти MS Active Directory
• Дозволяє управляти спеціальними параметрами Active Directory.

5 Приклади FileSet для резервного копіювання Active Directory

У прикладі нижче модуль використовує конфігураційний файл за умовчанням для створення бекапа:

У прикладі нижче модуль використовує обраний конфігураційний файл для створення бекапа:

У прикладі нижче всі необхідні конфігураційні параметри вказуються в командному рядку за допомогою команди Plugin = ....

Конфігураційний файл не використовується:

6 Підготовка до бекапіть LDAP

Ви можете вказати різні конфігураційні файли в кожному окремому визначенні FileSet. Плагін потребують доступ до облікового запису LDAP / MSAD з дозволами для створення запитів і читання об'єктів з метою їх резервного копіювання. Обліковий запис може бути як адміністратор або стандартним обліковим записом, якій присвоєно роль Backup Operator. Плагін LDAP / MSAD створює віртуальний простір імен в каталозі Bacula, які включають «ldap:» або «msad:» префікси. При цьому дерево DN використовується в якості дерева каталогу. Віртуальний простір імен в каталозі Bacula не містить імена серверів / копій ldap / msad, тому адміністратор резервного копіювання повинен відрізняти дерева різних серверів на одному клієнті Bacula FD.

7 Резервне копіювання Active Directory і LDAP

Модуль виконує один базовий запит, щоб знайти об'єкт резервного копіювання та використовує сторінковий контрольований відповідь для отримання всіх доступних об'єктів. Модуль зберігає всі стандартні і розширені атрибути, отримані з сервера. Такими атрибутами є системні або динамічні атрибути. Якщо модуль під час резервного копіювання виявляє об'єкт посилального типу, він не перейде до нього і сповістить про нього користувача, тобто з'явиться повідомлення:

(...) Referal found. Will not descend to ref: ldap: // ... / ...

В результаті резервного копіювання буде створений один файл для кожного об'єкта, знайденого в поддереве Directory Server, починаючи з параметра BASEDN.

8 Перевірка FileSet

Для перевірки FileSet, зокрема, якщо використовується перерахування параметрів, можна використовувати команду estimate:

9 Відновлення

Модуль підтримує процедуру відновлення даних серверів LDAP або MSAD. Ви не зможете відновлювати об'єкти в локальну файлову систему, однак, зможете відновлювати об'єкти в вихідне місце розташування або переміщати їх інші частини поддерева.

Щоб відновити об'єкти в вихідне місце розташування, необхідно використовувати параметр відновлення where = /. Модуль не призначений для реалізації процедур відновлення після збою. Будь ласка, візьміть до уваги, що для аварійного відновлення серверів MSAD можна використовувати модуль VSS, реалізований в Bacula Enterprise.

Об'єкти LDAP відновлюються точно таким же способом в стандартні файли за допомогою команди «restore»:

У разі використання модуля MSAD:

Ви можете змінити поддерево для відновлення, використовуючи параметр where = ... і команду відновлення. Команда повинна містити повний шлях для переміщення, тобто:

* Restore where = «dc = restore, dc = example, dc = com»

Модуль LDAP або MSAD при відновленні з переміщенням об'єктів працює також, як працює стандартна команда відновлення where = / tmp / щодо звичайних файлів і каталогів при відновленні повного шляху до Піддерево об'єкта. Ви можете змінити режим переміщення під час процедури відновлення. Користувачеві доступні режими: always, never, ifnewer, ifolder. Режим може бути змінений при виконанні команди відновлення з консолі bconsole.

Модуль зберігає всі стандартні і розширені атрибути, навіть якщо їх не можна відновити безпосередньо, або їх відновлення неможливе зовсім (атрибути тільки для читання). Деякі збережені атрибути будуть відновлені не безпосередньо (наприклад, атрибут 'memberOf attribute'). Інші атрибути будуть пропущені в процесі відновлення. В такому випадку, всю відповідну інформацію ви зможете отримати в журналі завдань. Приклад показаний нижче:

10 Варіанти відновлення Active Directory

Обидва модулі підтримують використання інтерфейсу, за допомогою якого ви можете задати необхідні змінні. Інтерфейс з опціями відновлення дозволяє змінювати місце розташування об'єктів відновлюваної сервера, прив'язати користувача або конкретний механізм відновлення.

Щоб використовувати інтерфейс, що дозволяє задавати опції відновлення, необхідно під час процедури відновлення вибрати 13 параметр:

Будуть доступні наступні опції:

1: basedn (основне місце розташування (DN) для відновлення, це може бути кореневе дерево сервера ldap або інше поддерево, наприклад: dc = example, dc = com)

2: ldapuri (універсальний ідентифікатор ресурсів для сервера MSAD, команда підключення, наприклад: ldap: //192.168.0.100/)

3: binddn (відновлення унікального імені користувача, наприклад: cn = backup, dc = example, dc = com)

4: bindpass (відновлення пароля користувача)

5: hbindpass (відновлення прихованого пароля користувача)

6: config (шлях до альтернативного конфігураційного файлу)

7: attribs (список додаткових атрибутів (розділених комою), які необхідно пропустити під час відновлення)

У разі модуля MSAD користувачі можуть використовувати такі опції:

Будуть доступні наступні опції:

basedn (основне місце розташування (DN) для відновлення, це може бути кореневе дерево сервера ldap або інше поддерево, наприклад: dc = example, dc = com). Це основне місце розташування (DN) для резервного копіювання, це може бути кореневе дерево сервера ldap або інше поддерево.

ldapuri (універсальний ідентифікатор ресурсів для сервера MSAD, команда підключення, наприклад: ldap: //192.168.0.100/). універсальний ідентифікатор ресурсів для сервера LDAP / MSAD.

binddn (відновлення унікального імені користувача, наприклад: cn = backup, dc = example, dc = com). Резервна копія унікального імені користувача.

bindpass (відновлення пароля користувача). Резервна копія пароля користувача.

hbindpass (відновлення прихованого пароля користувача). Резервна копія зашифрованого пароля користувача.

config (шлях до альтернативного конфігураційного файлу). Конфігураційний файл, який містить всі необхідні параметри.

schemaapply (автоматичний пропуск відомих атрибутів, доступних тільки для читання). Булева опція (yes / no), яка дозволяє автоматично пропускати доступні тільки для читання атрибути сервера Active Directory.

attribs (список додаткових атрибутів (розділених комою), які необхідно пропустити під час відновлення). Розділені коми атрибути, які плагін повинен буде пропустити під час відновлення.

10.1 Відновлення Active Directory

Active Directory це особливий вид сервера каталогів, що вимагає особливого поводження в процесі відновлення, що і послужило причиною розробки плагіна MSAD.

10.1.1 Якщо видаляється об'єкта з контейнера

Поточна версія модуля MSAD підтримує відновлення видалених об'єктів Active Directory. Під час відновлення модуль MSAD автоматично перевіряє, чи має відновлюваний об'єкт доступну віддалену копію в спеціальному контейнері. При знаходженні копії модуль MSAD відновлює її з контейнера і відновлює всі атрибути з резервної копії. Ця функція дозволяє правильно відновлювати деякі системні атрибути типу SID або objectGUID, які не можна відновити іншими методами.

10.1.2 Відновлення memberOf

Модуль розпізнає і особливо дбайливо відновлює атрибут об'єкта memberOf. Після успішного відновлення об'єкта модуль додає відновлений об'єкт до всіх груп, які включені до списку атрибутів memberOf. Якщо зазначена група не існує на сервері AD, дана група пропускається.

10.1.3 Відновлення userAccountControl

Атрибут userAccountControl в Active Directory вимагає особливих прав для успішного виконання відновлення. Вам, можливо, буде потрібно додати групу безпеки Enterprise Admins до користувача BINDDN або змінити права доступу безпосередньо в BINDDN.

Модуль перевірить чи дозволено відновлювати атрибут userAccountControl за допомогою поточних прав доступу і повідомить користувачеві про неуспішному завершення відновлення. В цьому випадку атрибут userAccountControl буде відновлений з прапорами за замовчуванням, тобто обліковий запис буде відключено.

10.1.4 sAMAccountName

Атрибут sAMAccountName об'єктів Active Directory являє собою атрибут, який повинен зберігати свою унікальність в контексті всього каталогу. Атрибут вимагає особливого поводження під час переміщення при відновленні, зокрема, коли вихідний користувальницький вже існує в вихідному місцезнаходження. В такому випадку, об'єкт, що переміщується під час відновлення, буде змінений.

За замовчуванням атрибуту sAMAccountName присвоюється суфікс _ $ (JobID) з ідентифікаційним номером завдання. Тобто якщо вихідного атрибуту sAMAccountName присвоєно назву testuser, то під час відновлення він прийме значення testuser_230, якщо ідентифікаційний номер завдання являє собою число 230. Атрибут sAMAccountName змінюється, тільки при виконанні наступних умов:

• Завдання по відновленню виконується з переміщенням, параметр where = ... має значення, відмінне від '/'
• Значення атрибута sAMAccountName вже існує в контексті каталогу, тобто існує вихідний користувальницький об'єкт на сервері каталогів.

11 Використання VSS при бекапе Active Directory

Як було сказано на початку цього документа, резервне копіювання Active Directory можна виконати за допомогою стандартних інструментів Bacula для Windows, не використовуючи модулі LDAP / MSAD. Стандартне резервне копіювання передбачає копіювання всієї інформації з кожного диска за винятком тимчасових файлів. В даному випадку використовується опція VSS (стандартна опція Bacula), що не плагін VSS. Користувачі програмного забезпечення Bacula використовують дану опцію протягом багатьох років. Більшість користувачів використовують її для резервного копіювання та відновлення користувальницьких файлів, а також для відновлення системи на голе залізо. Фактично компанія Bacula Systems створила окремий інструмент WinBMR, який автоматизує процедуру відновлення системи на голе залізо.

Стандартне резервне копіювання виконується без плагіна Bacula VSS. При цьому, Bacula використовує Windows VSS API (НЕ VSS плагін) для створення снапшотов файлової системи з подальшим створенням резервних копій. Як правило, подібні бекапи містять всі файли операційної системи.

Недоліками подібного методу резервного копіювання є неможливість відновлення окремих компонентів стану системи, які можна відновити за допомогою плагіна VSS. Однак користувач може реалізувати один з трьох видів відновлення, описаних нижче.

11.1 Як відновіті заводські призначення для користувача файлів

Модуль VSS дозволяє відновлювати стандартні призначені для користувача файли або системні файли, які не використовуються ОС (багато файли використовуються системою і не можуть бути відновлені поки система запущена).

11.2 Відновлення на «голе залізо»

В процесі відновлення системи на голе залізо ви можете відновити всю систему, включаючи всі файли стану системи. Недолік методу в порівнянні з методом, при якому використовується плагін VSS, полягає в тому, що вам доведеться відновлювати всю систему повністю, а не окремі її компоненти.

Примітка: також можна відновлювати будь-яка підмножина файлів, а не всі файли. Тому, якщо ви розбираєтеся в файлах стану системи, в теорії ви зможете відновити тільки стан системи або будь-який інший компонент системи. На практиці, з цим завданням справляються далеко не всі користувачі.

В даному документі описаний процес резервного копіювання стану системи і / або декількох інших елементів системи, таких як, MSSQL, Exchange. Різниця між процедурою створення резервних копій цих елементів і попереднього елемента полягає в тому, що при створенні копій останніх елементів використовується VSS модуль Bacula Enterprise Edition.

Бекап, при створенні якого використовується VSS модуль Bacula Enterprise, являє собою окремий вид завдання, тобто це не стандартна задача резервного копіювання файлів користувача (дивіться вище по тексту). Перевага такого підходу до створення резервних копій полягає в тому, що якщо пошкоджується стан системи, користувач може відновити окремий пошкоджений елемент, а не все стан системи. При цьому користувачу не доведеться перезавантажуватися для завершення процесу.

Недолік даного методу створення резервних копій полягає в тому, що він не може використовуватися в процесі відновлення системи на голе залізо. Це обумовлено тим, що будь-який бекап, що містить дані, записані за допомогою модуля VSS, вимагає модуль VSS для їх відновлення. А при відновленні систем на голе залізо немає можливості використовувати підсистему VSS.

11.3 Відновлення даних на рівні додатків за допомогою VSS модуля

За допомогою даних, резервна копія яких створювалася за допомогою VSS модуля, можна відновлювати дані конкретних додатків на запущеній ОС Windows . Зокрема, використовуючи задокументований Microsoft спосіб відновлення даних Active Directory в режимі Directory Services Restore Mode, можна заново наповнити домен Active Directory раніше скопійованими даними і гарантувати узгодженість даних у всій кластерному середовищі AD.

Даний підхід до відновлення даних можна назвати аварійним відновленням даних на рівні додатків. Цей підхід може використовуватися як частина плану по забезпеченню відмовостійкості системи.

Однак варто зазначити, що якщо в домені більше одного сервера AD, на практиці, швидше за все, не доведеться виконувати відновлення даних, так як простіше налаштувати новий сервер, ніж відновлювати AD, потім новий сервер перетворювати в сервер AD, а потім відновлювати дані шляхом їх реплікації з існуючих серверів. Іншими словами, до використання резервних копій даних AD варто вдаватися в останню чергу, тобто тільки в разі аварійного відновлення даних.

12 Висновок

Bacula дозволяє створювати бекапи і відновлювати дані Windows Active Directory з використанням декількох методів:

• За допомогою Bacula File Daemon (FD) і VSS (а також за допомогою модуля для відновлення системи на голе залізо). Зокрема, таким чином можна здійснювати швидке відновлення системи і відновлення компонентів Active Directory;
• За допомогою VSS модуля Bacula Enterprise Edition. ). Зокрема, таким чином можна здійснювати швидке відновлення даних на рівні додатків;
• За допомогою MSAD модуля Bacula Enterprise Edition. ). Зокрема, таким чином можна здійснювати відновлення окремих елементів LDAP з Active Directory. Як правило, даний метод не є частиною плану з аварійного відновлення системи. Однак він ідеально підходить для відновлення даних після інцидентів, що сталися з вини користувача або в результаті відмови ПО (на такі випадки приходити до 90% всіх випадків втрати даних по оцінці Bacula)

LDAP модуль Bacula Enterprise Edition являє собою модуль використовується стосовно до будь-якої службі каталогу LDAP (наприклад, стосовно Novell / SUSEs eDirectory, openLDAP, DS389, і т.д.) Даний метод є важливою частиною будь-якого плану резервного копіювання та відновлення даних в середовищах, використовують для управління даними каталоги LDAP.

Модуль Bacula Enterprise Edition Directory Server включає в себе підмодулі LDAP і MSAD. Обидва підмодуля Bacula Enterprise Edition дозволяють створювати бекапи і відновлювати дані на рівні об'єктів.

Як було сказано вище, найчастіше використовується метод, при якому створюється резервна всіх даних. При цьому модуль VSS НЕ використовується, але використовуються можливості Windows VSS. Стандартна процедура відновлення, при цьому, дозволяє відновлювати будь-які файли при запущеної системи, не заблоковані цією системою (переважно призначені для користувача файли). Можна також відключити систему і виконати відновлення системи на голе залізо, в разі чого будуть відновлені всі файли. Більш того, за допомогою Bacula Enterprise Edition і модулів програмного забезпечення може бути виконано повне аварійне відновлення системи і аварійне відновлення даних на рівні додатків.

оскільки ПО Bacula Enterprise Edition інтегровано з різними БД платформами і віртуальними середовищами на відміну від інших рішень, воно дозволяє великим дата центрам зі складною і розподіленої ІТ інфраструктурою швидко копіювати і відновлювати дані, використовуючи одну платформу. Варто відзначити, що ліцензії ПО Bacula Enterprise Edition не залежить від обсягів даних, що дозволяє ІТ відділам істотно скорочувати витрати при використанні величезного діапазону функцій даного ПЗ.