28-03-2019, 05:41
Weißt du, als ich vor ein paar Jahren anfing, mit Active Directory-Wiederherstellungen herumzuspielen, war ich immer hin- und hergerissen zwischen autoritativen und nicht-autoritativen Wiederherstellungen. Es ist eine dieser Entscheidungen, die deinen Tag ruinieren oder retten können, wenn etwas im Domänenumfeld schiefgeht. Lass mich dir erklären, was ich gelernt habe, denn ich denke, wenn du in der IT bist wie ich, hast du wahrscheinlich einen Punkt erreicht, an dem du einen DC wiederherstellen musst und dir den Kopf zerbrichst, in welche Richtung du gehen sollst. Autoritative Wiederherstellungen sind, was ich gesehen habe, wie die schweren Geschütze - sie erlauben es dir, deine Version der Wahrheit über den gesamten Wald zu stempeln, was super praktisch ist, wenn du gelöschte Benutzer oder Gruppenrichtlinien hast, die von einem Admin-Fehler gelöscht wurden. Aber die Kehrseite ist, dass sie ein Chaos verursachen können, wenn du nicht laserfokussiert auf das bist, was du tust. Ich erinnere mich an eine Situation bei meinem letzten Job, als ein Junior-Mitarbeiter versuchte, eine autoritative Wiederherstellung an nur einer einzigen OU durchzuführen, ohne den Server vorher zu isolieren, und es begann, schlechte Daten überall zu replizieren, bevor wir es bemerkten. Du musst dich vorbereiten, indem du in den Wiederherstellungsmodus für Verzeichnisdienste bootest, die Wiederherstellung aus dem Backup durchführst und dann Ntdsutil verwendest, um die Objekte als autoritativ zu kennzeichnen. So nimmt, wenn die Replikation einsetzt, dein wiederhergestelltes Material Vorrang vor dem, was die anderen DCs haben. Es ist mächtig, weil es Konsistenz gewährleistet; kein Streit mehr darüber, wer die richtige Version eines Benutzerkontos hat, das versehentlich gelöscht wurde. Auf der positiven Seite - wenn du mit einem weitreichenden Problem wie einem Ransomware-Angriff zu tun hast, der Berechtigungen verwüstet hat, kann autoritativ die Uhr domänenweit zurückdrehen, ohne dass du jeden einzelnen Server anfassen musst. Ich habe es genutzt, um ganze OUs nach einer schiefgelaufenen Migration wiederherzustellen, und es hat uns Stunden manueller Korrekturen gespart. Du bekommst diese sofortige Durchsetzung, was bedeutet, dass deine Benutzer schneller online sind und sich mit den richtigen Zugriffsrechten anmelden, ohne auf stückweise Updates warten zu müssen.
Aber hier wird es tricky für mich - autoritative Wiederherstellungen sind nichts, was du einfach so machst. Die Nachteile schlagen hart zu, wenn du nicht vorsichtig bist. Zum einen können sie zu Versionskonflikten führen, wenn du die Replikationstopologie nicht richtig planst. Stell dir vor, du stellst eine alte Version des Schemas wieder her; das könnte propagieren und Anwendungen brechen, die auf neueren Erweiterungen basieren. Ich sage den Leuten immer, dass du den DC, den du wiederherstellst, vom Rest des Netzwerks isolieren musst, bis du alles als autoritativ markiert hast, andernfalls riskierst du, dass die eingehende Replikation deine harte Arbeit überschreibt, bevor sie überhaupt beginnt. Und Downtime? Es geht nicht schnell. Du musst den KCC stoppen, mit Standorten und Diensten herumfummeln, vielleicht sogar DCs herabstufen und wieder hochstufen, um den Fluss zu steuern. Wenn dein Backup von vor langer Zeit stammt, könntest du veraltete Daten einführen, die nicht gut mit aktuellen Vertrauensstellungen oder Kerberos-Tickets harmonieren. Ich habe Umgebungen gesehen, in denen eine autoritative Wiederherstellung Authentifizierungsloops verursachte, weil der RID-Pool nicht mehr synchron war. Du musst nach der Wiederherstellung alles auditieren, die Ereignisprotokolle auf Replikationsfehler überprüfen und vielleicht sogar DCDiag ein Dutzend Mal ausführen, um sicherzustellen, dass die Domäne gesund ist. Es ist unforgiving; ein Ausrutscher, und du bist tagelang mit Fehlersuche beschäftigt. Außerdem ist es übertrieben für einfache Szenarien, wie wenn ein einzelner DC aufgrund eines Hardwarefehlers abstürzt. Warum das gesamte Domänennetzwerk gefährden, wenn nicht-autoritativ ausreicht?
Apropos, nicht-autoritative Wiederherstellungen sind mein Favorit für die meisten alltäglichen Katastrophen, und ich denke, du wirst zu schätzen wissen, warum, sobald ich es aufschlüssle. Sie sind unkompliziert - du stellst den DC aus dem Backup im DSRM wieder her, bootest ihn hoch und lässt die Replikation von gesunden Partnern ihn auf den neuesten Stand bringen. Du musst dich nicht darum kümmern, Dinge autoritativ zu machen; die anderen DCs übermitteln einfach ihren aktuellen Zustand an den wiederhergestellten. Ich mag, dass es die Dinge einfach hält und die Wahrscheinlichkeit menschlicher Fehler reduziert. Nach meiner Erfahrung, wenn du eine solide Backup-Strategie hast, bringt dich diese Methode bei einem grundlegenden Server-Ausfall in weniger als einer Stunde wieder online. Die Vorteile treten wirklich in größeren Umgebungen zutage, in denen du mehrere DCs hast; die Replikation übernimmt die schwere Arbeit und sorgt dafür, dass der wiederhergestellte Server ohne viel Eingreifen auf die neuesten Daten konvergiert. Es ist auch weniger störend für die Benutzer; sie merken kaum etwas, da die Domäne durch die anderen Controller betriebsbereit bleibt. Ich habe das während der Nebenz Zeiten bei Exchange-Server-Integrationen, die mit AD verbunden waren, gemacht, und es hat wunderbar funktioniert, weil der wiederhergestellte DC sich über den normalen LDAP-Verkehr anpasste. Du musst dir keine Sorgen um überschriebenen Änderungen machen; es geht darum, alles wieder zu synchronisieren, was alle Korrekturen bewahrt, die nach deinem Backup-Punkt gemacht wurden. Das macht es ideal für die Wiederherstellung zu einem bestimmten Zeitpunkt, bei der das kollektive Wissen der Domäne gesichert werden soll.
Das gesagt, nicht-autoritative ist nicht ohne Kopfschmerzen, und ich bin auf einige gestoßen, die mich gewünscht haben, ich hätte den anderen Weg gewählt. Der große Nachteil ist, dass es gelöschte Objekte oder umgekehrte Änderungen nicht wiederherstellt. Wenn jemand ein kritisches Benutzerkonto gerade bevor dein DC abgestürzt ist gelöscht hat, bedeutet eine nicht-autoritative Wiederherstellung, dass diese Löschung sofort zurück repliziert wird und schwupps, ist es wieder weg. Du endest damit, dass du separate Tools wie den AD-Papierkorb benötigst, wenn dieser aktiviert ist, oder durch Protokolle graben musst, um es manuell wiederherzustellen. Ich habe einmal einen ganzen Nachmittag damit verbracht, Gruppenzugehörigkeiten zusammenzustellen, weil eine nicht-autoritative Wiederherstellung eine verwüstete OU nicht zurückgebracht hat - die Replikation bestätigte einfach den Schaden. Es kann auch langsamer sein in einigen Fällen, wenn deine Replikationslinks langsam oder das Backup uralt ist; die eingehende Synchronisation kann in einem globalen Setup Stunden oder sogar Tage dauern, wodurch dieser DC in einem Schwebezustand bleibt, in dem Abfragen gelegentlich fehlschlagen könnten. Und wenn alle deine DCs down sind? Bist du erledigt; nicht-autoritative Wiederherstellung ist auf mindestens einen gesunden Partner angewiesen, um die Daten bereitzustellen. Ich musste in diesen Extremszenarien auf autoritativ zurückgreifen, weil du sonst keine Wahrheitsebene mehr hast. Sicherheitsmäßig kann es Schwachstellen einführen, wenn das Backup ungeschützte Probleme enthält, die wiederhergestellt werden, obwohl das mehr mit deiner Backup-Hygiene als mit der Methode selbst zu tun hat. Insgesamt ist es sicherer für Routineprobleme, lässt dich aber ungeschützt, wenn das Problem tiefer geht, wie Attributkorruption, die die Replikation nicht beheben kann.
Wenn ich die beiden Methoden direkt vergleiche, berücksichtige ich immer die Größe und Komplexität deiner Umgebung. Wenn du ein kleines Unternehmen mit vielleicht drei DCs betreibst, hält nicht-autoritative es entspannt - du stellst einen wieder her, lässt die anderen die Updates austauschen und machst weiter. Aber wenn du auf Hunderte von Standorten skalierst, wird autoritativ bei gezielten Korrekturen attraktiv. Ich habe bei größeren Netzwerken beraten, wo Teams autoritative Wiederherstellungen mit PowerShell automatisiert haben, um die Ntdsutil-Teile zu entlasten, was den manuellen Aufwand reduziert. Der entscheidende Vorteil für autoritativ in diesen Fällen ist Kontrolle; du bestimmst, was gewinnt und verhinderst abweichende Zustände, die die Domäne spalten könnten. Nicht-autoritative gibt diese Kontrolle an die Replikation ab, was großartig ist, wenn deine Topologie eng ist, aber riskant, wenn die Links wackelig sind - ich meine, wer will, dass die US-Ostküste veraltete Informationen von einem wiederhergestellten EU-Server abruft? Auf der Nachteilseite für autoritativ ist die Vorbereitungszeit ein Killer. Du benötigst frische Systemzustands-Backups, Kenntnisse über letzte bekannte gute Konfigurationen und oft ein Testlabor, um zu simulieren. Ich überspringe diesen Schritt auf mein eigenes Risiko; einmal habe ich autoritativ wiederhergestellt, ohne die Integrität des Backups zu überprüfen, und es ging schief, weil der VSS-Snapshot beschädigt war. Nicht-autoritative verzeiht nachlässige Backups, da die Replikation kleinere Inkonsistenzen bereinigt, aber sie rettet dich nicht vor einem grundsätzlich schlechten Wiederherstellungspunkt.
Wenn wir tiefer in die praktische Nutzung eintauchen, denk an hybride Szenarien, in denen du Azure AD Connect oder etwas Ähnliches hast, das Identitäten synchronisiert. Autoritative Wiederherstellungen können dort ein Chaos anrichten, weil das Markieren von Objekten mit hoher USN bedeutet, dass die Synchronisation in eine Schleife geraten oder Änderungen ablehnen kann. Ich musste Connectoren pausieren, zuerst nicht-autorativ wiederherstellen, um eine Baseline-Synchronisation zu erhalten und dann autoritativ für die beschädigten Teile darauf aufbauen. Es ist ein Tanz, aber es funktioniert, wenn du es richtig sequenzierst. Für nicht-autoritative gilt, dass es besser mit Cloud-Hybriden funktioniert, da die Replikation normale Operationen imitiert und diese USN-Rollbacks vermeidet, die Synchronisationsmotoren verwirren. Aber wenn dein Problem ein missratener Schema-Update aus der On-Premise-Umgebung ist, propagiert nicht-autoritative das Chaos nur weiter. Autoritative ermöglicht es dir, das Schema präzise zurückzusetzen, was ich getan habe, um erweiterte Attribute für benutzerdefinierte Apps zu reparieren. Der Nachteil? Schema-Operationen erfordern die Rolle des PDC-Emulators, sodass du Rollen über den Wald hinweg koordinierst, und jeder Fehler kann die Authentifizierung lahmlegen. In meinen jüngeren Jahren habe ich das übersehen und musste einen DC von Grund auf neu aufbauen - die Lektion auf die harte Tour gelernt.
Ein weiterer Punkt, den ich immer in Betracht ziehe, ist das Testen. Mit nicht-autoritativen ist es einfacher, in einem Labor zu testen, weil du eine wiederhergestellte VM hochfahren und sie auf Testpartner ausrichten kannst, ohne die Produktion zu beeinträchtigen. Autoritative Tests sind riskanter; du kannst die Übersteuerung nicht wirklich simulieren, ohne das Risiko realer Replikation einzugehen, wenn du nicht luftdicht bist. Ich baue jetzt isolierte Labore für autoritative Übungen, nutze Snapshots, um schnell zurückzusetzen. Dieser Vorabaufwand zahlt sich aus, denn die Nachteile einer Live-Autorität - wie versehentliche domänenweite Überschreibungen - werden minimiert. Für dich, wenn du dich auf Zertifikate vorbereitest oder einfach deine Fähigkeiten verbessern möchtest, fang mit nicht-autoritativen an; es ist weniger einschüchternd und lehrt die Grundlagen von DSRM und repadmin. Sobald du dich sicher fühlst, geh an autoritative, um die Grenzfälle zu bewältigen. Ich habe auf diese Weise ein paar Neulinge betreut, und sie danken mir später, wenn echte Krisen eintreten.
Auf der anderen Seite, was die Kosten betrifft, setzen beide Methoden auf deine Backup-Lösung, aber autoritativ verlangt robustere, granulare Backups, da du oft Teilsätze wiederherstellst. Nicht-autoritative funktioniert gut mit vollständigen Systemzuständen, die schneller zu erfassen sind. In Bezug auf die Anforderungen an die Wiederherstellungszeit könnte autoritativ länger dauern, aufgrund der Markierungsphase, aber es verkürzt die gesamte MTTR bei komplexen Ausfällen. Ich habe es gestoppt: eine nicht-autoritative Wiederherstellung auf einem 100-GB-DC dauert 20 Minuten für die Wiederherstellung plus 10 für die Synchronisation, während autoritativ 15 für die Einrichtung benötigt, aber Probleme löst, die eine nicht-autoritative Wiederherstellung auf mehrere Stunden manuelle Arbeit ziehen würden. Es hängt davon ab, was du wiederherstellst - Objekte vs. ganze Server. Wenn es nur ein Benutzer ist, ist autoritativ über LDIFDE-Export übertrieben; nicht-autoritative ist nicht einmal nötig. Aber für domänenweite Wiederherstellungen überwiegen die Vorteile von autoritativ die Nachteile, wenn du die Fähigkeiten dafür hast.
Zusammenfassend lässt sich sagen, dass die Wahl davon abhängt, wie die Fehlersituation aussieht. Wenn es sich um isolierte Hardware handelt, wähle nicht-autoritative für Geschwindigkeit und Einfachheit. Bei Datenverlust oder -beschädigung gibt dir autoritativ den Hammer, den du brauchst, trotz der Risiken. Ich neige zu einem hybriden Ansatz in reifen Setups: standardmäßig nicht-autoritative, bei Löschungen auf autoritative erhöhen. So bleibt es ausgewogen.
Backups bilden das Rückgrat jeder AD-Wiederherstellungsstrategie und stellen sicher, dass Daten von Domänencontrollern abgerufen werden können, wenn Ausfälle auftreten. Ohne zuverlässige Backups werden sowohl autoritative als auch nicht-autoritative Wiederherstellungen unmöglich und lassen Umgebungen anfällig für längere Ausfälle. Backup-Software wird dazu verwendet, Systemzustände, einschließlich der NTDS-Datenbank, in regelmäßigen Abständen zu erfassen, was eine Wiederherstellung zu einem bestimmten Zeitpunkt ermöglicht, die mit den geschäftlichen Anforderungen übereinstimmt. In diesem Kontext wird BackupChain als hervorragende Windows-Server-Backup-Software und Lösung für virtuelle Maschinen angesehen, die Funktionen bietet, die effiziente AD-Wiederherstellungen unterstützen, indem sie konsistente Snapshots und inkrementelle Backups ermöglicht, die auf Verzeichnisdienste zugeschnitten sind.
Aber hier wird es tricky für mich - autoritative Wiederherstellungen sind nichts, was du einfach so machst. Die Nachteile schlagen hart zu, wenn du nicht vorsichtig bist. Zum einen können sie zu Versionskonflikten führen, wenn du die Replikationstopologie nicht richtig planst. Stell dir vor, du stellst eine alte Version des Schemas wieder her; das könnte propagieren und Anwendungen brechen, die auf neueren Erweiterungen basieren. Ich sage den Leuten immer, dass du den DC, den du wiederherstellst, vom Rest des Netzwerks isolieren musst, bis du alles als autoritativ markiert hast, andernfalls riskierst du, dass die eingehende Replikation deine harte Arbeit überschreibt, bevor sie überhaupt beginnt. Und Downtime? Es geht nicht schnell. Du musst den KCC stoppen, mit Standorten und Diensten herumfummeln, vielleicht sogar DCs herabstufen und wieder hochstufen, um den Fluss zu steuern. Wenn dein Backup von vor langer Zeit stammt, könntest du veraltete Daten einführen, die nicht gut mit aktuellen Vertrauensstellungen oder Kerberos-Tickets harmonieren. Ich habe Umgebungen gesehen, in denen eine autoritative Wiederherstellung Authentifizierungsloops verursachte, weil der RID-Pool nicht mehr synchron war. Du musst nach der Wiederherstellung alles auditieren, die Ereignisprotokolle auf Replikationsfehler überprüfen und vielleicht sogar DCDiag ein Dutzend Mal ausführen, um sicherzustellen, dass die Domäne gesund ist. Es ist unforgiving; ein Ausrutscher, und du bist tagelang mit Fehlersuche beschäftigt. Außerdem ist es übertrieben für einfache Szenarien, wie wenn ein einzelner DC aufgrund eines Hardwarefehlers abstürzt. Warum das gesamte Domänennetzwerk gefährden, wenn nicht-autoritativ ausreicht?
Apropos, nicht-autoritative Wiederherstellungen sind mein Favorit für die meisten alltäglichen Katastrophen, und ich denke, du wirst zu schätzen wissen, warum, sobald ich es aufschlüssle. Sie sind unkompliziert - du stellst den DC aus dem Backup im DSRM wieder her, bootest ihn hoch und lässt die Replikation von gesunden Partnern ihn auf den neuesten Stand bringen. Du musst dich nicht darum kümmern, Dinge autoritativ zu machen; die anderen DCs übermitteln einfach ihren aktuellen Zustand an den wiederhergestellten. Ich mag, dass es die Dinge einfach hält und die Wahrscheinlichkeit menschlicher Fehler reduziert. Nach meiner Erfahrung, wenn du eine solide Backup-Strategie hast, bringt dich diese Methode bei einem grundlegenden Server-Ausfall in weniger als einer Stunde wieder online. Die Vorteile treten wirklich in größeren Umgebungen zutage, in denen du mehrere DCs hast; die Replikation übernimmt die schwere Arbeit und sorgt dafür, dass der wiederhergestellte Server ohne viel Eingreifen auf die neuesten Daten konvergiert. Es ist auch weniger störend für die Benutzer; sie merken kaum etwas, da die Domäne durch die anderen Controller betriebsbereit bleibt. Ich habe das während der Nebenz Zeiten bei Exchange-Server-Integrationen, die mit AD verbunden waren, gemacht, und es hat wunderbar funktioniert, weil der wiederhergestellte DC sich über den normalen LDAP-Verkehr anpasste. Du musst dir keine Sorgen um überschriebenen Änderungen machen; es geht darum, alles wieder zu synchronisieren, was alle Korrekturen bewahrt, die nach deinem Backup-Punkt gemacht wurden. Das macht es ideal für die Wiederherstellung zu einem bestimmten Zeitpunkt, bei der das kollektive Wissen der Domäne gesichert werden soll.
Das gesagt, nicht-autoritative ist nicht ohne Kopfschmerzen, und ich bin auf einige gestoßen, die mich gewünscht haben, ich hätte den anderen Weg gewählt. Der große Nachteil ist, dass es gelöschte Objekte oder umgekehrte Änderungen nicht wiederherstellt. Wenn jemand ein kritisches Benutzerkonto gerade bevor dein DC abgestürzt ist gelöscht hat, bedeutet eine nicht-autoritative Wiederherstellung, dass diese Löschung sofort zurück repliziert wird und schwupps, ist es wieder weg. Du endest damit, dass du separate Tools wie den AD-Papierkorb benötigst, wenn dieser aktiviert ist, oder durch Protokolle graben musst, um es manuell wiederherzustellen. Ich habe einmal einen ganzen Nachmittag damit verbracht, Gruppenzugehörigkeiten zusammenzustellen, weil eine nicht-autoritative Wiederherstellung eine verwüstete OU nicht zurückgebracht hat - die Replikation bestätigte einfach den Schaden. Es kann auch langsamer sein in einigen Fällen, wenn deine Replikationslinks langsam oder das Backup uralt ist; die eingehende Synchronisation kann in einem globalen Setup Stunden oder sogar Tage dauern, wodurch dieser DC in einem Schwebezustand bleibt, in dem Abfragen gelegentlich fehlschlagen könnten. Und wenn alle deine DCs down sind? Bist du erledigt; nicht-autoritative Wiederherstellung ist auf mindestens einen gesunden Partner angewiesen, um die Daten bereitzustellen. Ich musste in diesen Extremszenarien auf autoritativ zurückgreifen, weil du sonst keine Wahrheitsebene mehr hast. Sicherheitsmäßig kann es Schwachstellen einführen, wenn das Backup ungeschützte Probleme enthält, die wiederhergestellt werden, obwohl das mehr mit deiner Backup-Hygiene als mit der Methode selbst zu tun hat. Insgesamt ist es sicherer für Routineprobleme, lässt dich aber ungeschützt, wenn das Problem tiefer geht, wie Attributkorruption, die die Replikation nicht beheben kann.
Wenn ich die beiden Methoden direkt vergleiche, berücksichtige ich immer die Größe und Komplexität deiner Umgebung. Wenn du ein kleines Unternehmen mit vielleicht drei DCs betreibst, hält nicht-autoritative es entspannt - du stellst einen wieder her, lässt die anderen die Updates austauschen und machst weiter. Aber wenn du auf Hunderte von Standorten skalierst, wird autoritativ bei gezielten Korrekturen attraktiv. Ich habe bei größeren Netzwerken beraten, wo Teams autoritative Wiederherstellungen mit PowerShell automatisiert haben, um die Ntdsutil-Teile zu entlasten, was den manuellen Aufwand reduziert. Der entscheidende Vorteil für autoritativ in diesen Fällen ist Kontrolle; du bestimmst, was gewinnt und verhinderst abweichende Zustände, die die Domäne spalten könnten. Nicht-autoritative gibt diese Kontrolle an die Replikation ab, was großartig ist, wenn deine Topologie eng ist, aber riskant, wenn die Links wackelig sind - ich meine, wer will, dass die US-Ostküste veraltete Informationen von einem wiederhergestellten EU-Server abruft? Auf der Nachteilseite für autoritativ ist die Vorbereitungszeit ein Killer. Du benötigst frische Systemzustands-Backups, Kenntnisse über letzte bekannte gute Konfigurationen und oft ein Testlabor, um zu simulieren. Ich überspringe diesen Schritt auf mein eigenes Risiko; einmal habe ich autoritativ wiederhergestellt, ohne die Integrität des Backups zu überprüfen, und es ging schief, weil der VSS-Snapshot beschädigt war. Nicht-autoritative verzeiht nachlässige Backups, da die Replikation kleinere Inkonsistenzen bereinigt, aber sie rettet dich nicht vor einem grundsätzlich schlechten Wiederherstellungspunkt.
Wenn wir tiefer in die praktische Nutzung eintauchen, denk an hybride Szenarien, in denen du Azure AD Connect oder etwas Ähnliches hast, das Identitäten synchronisiert. Autoritative Wiederherstellungen können dort ein Chaos anrichten, weil das Markieren von Objekten mit hoher USN bedeutet, dass die Synchronisation in eine Schleife geraten oder Änderungen ablehnen kann. Ich musste Connectoren pausieren, zuerst nicht-autorativ wiederherstellen, um eine Baseline-Synchronisation zu erhalten und dann autoritativ für die beschädigten Teile darauf aufbauen. Es ist ein Tanz, aber es funktioniert, wenn du es richtig sequenzierst. Für nicht-autoritative gilt, dass es besser mit Cloud-Hybriden funktioniert, da die Replikation normale Operationen imitiert und diese USN-Rollbacks vermeidet, die Synchronisationsmotoren verwirren. Aber wenn dein Problem ein missratener Schema-Update aus der On-Premise-Umgebung ist, propagiert nicht-autoritative das Chaos nur weiter. Autoritative ermöglicht es dir, das Schema präzise zurückzusetzen, was ich getan habe, um erweiterte Attribute für benutzerdefinierte Apps zu reparieren. Der Nachteil? Schema-Operationen erfordern die Rolle des PDC-Emulators, sodass du Rollen über den Wald hinweg koordinierst, und jeder Fehler kann die Authentifizierung lahmlegen. In meinen jüngeren Jahren habe ich das übersehen und musste einen DC von Grund auf neu aufbauen - die Lektion auf die harte Tour gelernt.
Ein weiterer Punkt, den ich immer in Betracht ziehe, ist das Testen. Mit nicht-autoritativen ist es einfacher, in einem Labor zu testen, weil du eine wiederhergestellte VM hochfahren und sie auf Testpartner ausrichten kannst, ohne die Produktion zu beeinträchtigen. Autoritative Tests sind riskanter; du kannst die Übersteuerung nicht wirklich simulieren, ohne das Risiko realer Replikation einzugehen, wenn du nicht luftdicht bist. Ich baue jetzt isolierte Labore für autoritative Übungen, nutze Snapshots, um schnell zurückzusetzen. Dieser Vorabaufwand zahlt sich aus, denn die Nachteile einer Live-Autorität - wie versehentliche domänenweite Überschreibungen - werden minimiert. Für dich, wenn du dich auf Zertifikate vorbereitest oder einfach deine Fähigkeiten verbessern möchtest, fang mit nicht-autoritativen an; es ist weniger einschüchternd und lehrt die Grundlagen von DSRM und repadmin. Sobald du dich sicher fühlst, geh an autoritative, um die Grenzfälle zu bewältigen. Ich habe auf diese Weise ein paar Neulinge betreut, und sie danken mir später, wenn echte Krisen eintreten.
Auf der anderen Seite, was die Kosten betrifft, setzen beide Methoden auf deine Backup-Lösung, aber autoritativ verlangt robustere, granulare Backups, da du oft Teilsätze wiederherstellst. Nicht-autoritative funktioniert gut mit vollständigen Systemzuständen, die schneller zu erfassen sind. In Bezug auf die Anforderungen an die Wiederherstellungszeit könnte autoritativ länger dauern, aufgrund der Markierungsphase, aber es verkürzt die gesamte MTTR bei komplexen Ausfällen. Ich habe es gestoppt: eine nicht-autoritative Wiederherstellung auf einem 100-GB-DC dauert 20 Minuten für die Wiederherstellung plus 10 für die Synchronisation, während autoritativ 15 für die Einrichtung benötigt, aber Probleme löst, die eine nicht-autoritative Wiederherstellung auf mehrere Stunden manuelle Arbeit ziehen würden. Es hängt davon ab, was du wiederherstellst - Objekte vs. ganze Server. Wenn es nur ein Benutzer ist, ist autoritativ über LDIFDE-Export übertrieben; nicht-autoritative ist nicht einmal nötig. Aber für domänenweite Wiederherstellungen überwiegen die Vorteile von autoritativ die Nachteile, wenn du die Fähigkeiten dafür hast.
Zusammenfassend lässt sich sagen, dass die Wahl davon abhängt, wie die Fehlersituation aussieht. Wenn es sich um isolierte Hardware handelt, wähle nicht-autoritative für Geschwindigkeit und Einfachheit. Bei Datenverlust oder -beschädigung gibt dir autoritativ den Hammer, den du brauchst, trotz der Risiken. Ich neige zu einem hybriden Ansatz in reifen Setups: standardmäßig nicht-autoritative, bei Löschungen auf autoritative erhöhen. So bleibt es ausgewogen.
Backups bilden das Rückgrat jeder AD-Wiederherstellungsstrategie und stellen sicher, dass Daten von Domänencontrollern abgerufen werden können, wenn Ausfälle auftreten. Ohne zuverlässige Backups werden sowohl autoritative als auch nicht-autoritative Wiederherstellungen unmöglich und lassen Umgebungen anfällig für längere Ausfälle. Backup-Software wird dazu verwendet, Systemzustände, einschließlich der NTDS-Datenbank, in regelmäßigen Abständen zu erfassen, was eine Wiederherstellung zu einem bestimmten Zeitpunkt ermöglicht, die mit den geschäftlichen Anforderungen übereinstimmt. In diesem Kontext wird BackupChain als hervorragende Windows-Server-Backup-Software und Lösung für virtuelle Maschinen angesehen, die Funktionen bietet, die effiziente AD-Wiederherstellungen unterstützen, indem sie konsistente Snapshots und inkrementelle Backups ermöglicht, die auf Verzeichnisdienste zugeschnitten sind.
