Насколько безопасны обновления схемы Windows Active Directory?

Я пытаюсь лучше понять, как Active Directory обрабатывает обновления схемы, в частности, насколько безопасна процедура на самом деле, насколько критична AD, и с учетом ряда ситуаций, когда требуются обновления. Например, для Exchange 2007, OCS, SCOM требуются изменения схемы, это не просто то, что происходит, когда вы рассматриваете серьезный переход от (скажем) Windows 2003 к инфраструктуре Windows 2008.

То, что я ищу, - это совет относительно лучшего плана возврата для изменений схемы, на случай, если он действительно пойдет не так. Было бы приемлемо, например, отключить один DC во время обновления и использовать его для отката всей среды, если обновление схемы не удалось? Есть ли проблемы с повторной активацией контроллера домена, который был отключен во время обновления схемы?

Обновления схемы являются односторонней функцией. Вы можете только добавить новую схему в AD, вы никогда не сможете ничего удалить. По этой причине вы всегда должны тщательно оценивать альтернативы, когда программное обеспечение требует расширения или обновления схемы; будьте уверены, что это то, что вы готовы использовать.

Прежде всего, убедитесь, что у вас есть хорошая резервная копия базы данных AD (обычно% SystemRoot% \ ntds \ NTDS.DIT)! Храните его в безопасном месте.

Если у вас есть только один DC в вашем лесу, это очень просто. Просто запустите adprep, как сказано в инструкции (или позвольте программному обеспечению обновлять AD).

Если у вас более одного DC, убедитесь, что dcdiagи replmon -syncall. Убедитесь, что у вас есть резервные копии каждой базы данных AD (с каждого DC). Определите DC с помощью роли мастера схемы . Делайте все обновления на этом сервере, где это возможно.

AD будет защищать себя в большинстве случаев от неудачных обновлений схемы. Если файл LDIF не проходит синтаксис (скажем, вы BSOD в середине обновления), то он не будет загружен. Каждое «обновление» имеет свой собственный набор файлов LDIF.

Я никогда не видел, чтобы обновление схемы (если оно сделано правильно) пошло не так. MS, похоже, действительно сделали все возможное, чтобы сделать этот процесс надежным и надежным, и это видно. Единственным реальным сценарием, в котором я мог видеть, что происходит что-то плохое, было бы, если бы вы потеряли мощность на полпути (даже тогда, я не уверен), или если ваша AD уже была испорчена с самого начала (в этом случае у вас есть большие проблемы).

Все, что действительно делает обновление схемы , - это расширяет AD новыми классами объектов и свойствами (которые могут использовать приложение или более новая версия AD), поэтому область действия для бедствия весьма ограничена. Эта техническая статья дает достойный обзор и охватывает некоторые потенциальные случаи плохих вещей.

Стандартный подход для меня заключается в том, чтобы заранее убедиться, что все работает должным образом (через dcdiag, replmon и т. Д.), И обеспечить надежную резервную копию AD на случай, если произойдет худшее. Я бы держал эту резервную копию как можно дольше, так как AD может быть настолько чертовски устойчивым, что впоследствии проблемы могут не проявиться в течение длительного времени. Поэтому стандартное резервное копирование и восстановление будет моим откатом. Но, как я уже сказал, я никогда не видел, чтобы это было так.

Автономный подход с одним постоянным током подойдет для небольшой среды. Для большой среды я бы предпочел выполнить обновление на не подключенном DC. Если процесс обновления завершится успешно, подключите его к сети и скопируйте изменения. Для возврата в этом сценарии достаточно простого извлечения одного диска из набора зеркал, выключения постоянного тока и повторной установки исправного диска, действовавшего до обновления.

В большой сети с сотнями или тысячами постоянных токов повторная вставка хорошего подхода к постоянному току не будет практичной.