Почему вы не должны восстанавливать DC, который был зарезервирован 6 месяцев назад?

Когда я изучал доменные службы Active Directory, я столкнулся с этим вопросом в одном из блогов, но не смог найти подробного ответа. Поэтому, пожалуйста, кто-нибудь может объяснить мне эту концепцию.

active-directory domain-controller azure-active-directory user416535
источник

Потому что у вас должны быть более свежие резервные копии?

Крейг Уотсон,

Если только ... все последние резервные копии не были в той же области ядерного осаждения, что делает эту единственную резервную копию за пределами площадки единственной полезной резервной копией последнего DC. В форс-мажорных случаях никто не будет обвинять вас в том, что у вас нет резервной копии для неожиданного. Для чего-то меньшего вы должны иметь регулярные и автоматические резервные копии.

Эса Йокинен

регулярный, автоматизированный, контролируемый и проверенный . Вы действительно не хотите понимать, что ваша резервная копия не работает в течение 3 месяцев или не может быть восстановлена в тот самый момент, когда она вам абсолютно необходима.

JFL

Много лет назад я восстановил старый NT-сервер AD в какой-то запасной комплект, сбросил необходимые части AD и затем массировал их в текстовом редакторе. Можно было импортировать эти массированные данные на живой сервер, но это было не нужно. Через 17 лет память становится неясной, не могу вспомнить название программы.

Criggie

Ответы:

В tombstone lifetimeActive Directory есть такая вещь . Когда вы удаляете объект в Active Directory, он сразу не исчезает, он преобразуется в надгробную плиту, и эта информация реплицируется на другие контроллеры домена. Когда время жизни захоронения достигнуто, объект будет очищен. Если вы восстановите состояние до удаления до удаления, а томбтон не будет реплицирован на восстановленный DC до истечения срока его действия, объект останется в восстановленном DC, но не в других DC. Теперь у вас есть противоречивые данные. Время жизни tomsbtone по умолчанию для Server 2008 и выше составляет 180 дней (= 6 месяцев).

duenni
источник

Его можно восстановить, если это единственный контроллер домена в домене. Если это не единственный DC, восстановление не имеет значения, потому что другие контроллеры домена не будут реплицироваться с восстановленным DC, который старше TSL. Также нет практических случаев для восстановления контроллера домена, если доступны другие контроллеры домена, если не курить весь домен / лес. В этом случае они не сохранят ни одного из существующих контроллеров домена, но восстановят старую резервную копию до одного контроллера домена и будут продвигать все новые контроллеры домена.

Грег Аскью

Да, восстановление такой старой резервной копии доставит вам больше хлопот, так как срок действия паролей безопасного канала тоже истек, поэтому ни один клиент не будет общаться с этим DC, и вам придется присоединять всех клиентов к AD. В общем, это не очень хорошая идея.

Дуэнни

Я не думаю, что кто-то говорит, что это хорошая идея. Если единственная доступная резервная копия старше TSL, ее можно восстановить.

Грег Аскью

Хорошо, я удалю последнее предложение из своего ответа, потому что оно может вводить в заблуждение.

Дуэнни

Не только удаленные объекты.

Предположим на некоторое время, что на некоторых серверах настроены IIS, сервер сертификатов (PKI), политики были применены к OU, делегирование было предоставлено некоторым пользователям, проверка подлинности была выполнена для некоторых пользователей AD, таких как доступ VPN и т. Д.

Все эти изменения будут заменены старым Active Directory. Это действие вообще не приемлемо.

Сайрам
источник

Не обязательно. Неавторизованное восстановление будет реплицировать существующие данные с другого контроллера домена, но это приведет к противоречивым данным, если истек срок действия надгробной плиты (кроме того факта, что в первую очередь она не позволит восстановить резервную копию, которая старше, чем время жизни надгробной плиты). ).

Дуэнни