גיבוי ושחזור של AD
bcdedit /set safeboot dsrepair. הפקודה bcdedit /deletevalue safeboot מחזירה למצב רגיל. בזמן השחזור נדרשת סיסמת DSRM שנקבעה בעת יצירת ה-DC.wbadmin start backup -allCritical -backupTarget:B: -quiet מבצע גיבוי של הרכיבים הקריטיים לכונן B בלי הודעות.ntdsutil מפעיל את ניהול מסד הנתונים, כולל IFM, snapshots, DSRM ושחזור אוטוריטטיבי.vssadmin list shadows מציג את הצילומים הקיימים.פרקי ההרצאה: גיבוי ושחזור של AD
תמלול ההרצאה: גיבוי ושחזור של AD
הטקסט המלא של הדקות הראשונות בהרצאה «גיבוי ושחזור של AD» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בהרצאה הזו אנו נדון בנושא הגיבוי והשחזור בשרתי 2008 נראה את היתרונות של המערכת, נראה את החסרונות של המערכת מה חדש ובאמת נוכל באמת לברך ליצור תוכנית ואסטרטגיית גיבוי שתאפשר לנו להשתקם כמעט מכל מצב
אז ראשית נתחיל להבין למה צריך בכלל גיבוי גיבוי המידע הנמצא על שרתי ומחשבי החברה תמיד היה נושא רגיש מהסיבה הפשוטה ביותר חברים אם יתרחש איזשהו קשר במערכות פיזי, לוגי, כל קשר שהוא שסיכן את נתוני החברה אם הנתונים רגישים ויקרים, יכול להיות שגרמנו
להפסד של מיליונים אם לא ביצעתם גיבוי בצורה סדירה או לחלופין, גרמנו פשוט לחוסר פעילות של החברה תבינו שחברה שלא עובדת יום אחד, זה משכורות, זה לקוחות לא מרוצים זה נזק מאוד מאוד גדול שיכול להוביל באמת לאובדן עצום ובמקרים קיצוניים, אני מדבר פה על מקרים מאוד קיצוניים, לקריסה של חברה.
כמובן, בסופו של דבר, מי שיבואו אליו בטענות תהיה אתם, כי אתם אלו שלא ביצעתם את העבודה שלכם נאמנה ולא ביצעתם גיבויים כמו שצריך, או לא התכוננתם לזה אפילו בצורה שהייתם צריכים.
אז אנחנו באמת באים ומתכננים את זה נכון. אז אם אנחנו בונים לנו תוכנית ואסטרטגיית מערך גיבוי בצורה נכונה, אנחנו נוכל לספק מענה באמת יעיל ומהיר מאוד גם למצבים שצריך בהם לשקם מידע או לשחזר אותו, גם במצבים שעכשיו החברה פתאום לא עובדת, צריך להחזיר אותה לעבודה כמה שיותר מהר.
ואם מדובר בקריסה כוללת של המערכת, נוכל לבצע באמת התאוששות מאוד מאוד מהירה. מצב כזה, כמובן, הצלתם לעצמכם, אני אגיד בשפה עדינה, את מקום העבודה, ובאמת תמשיכו לצבור ניסיון במקום שאתם עובדים ולא במקום אחר.
זה שאני אומר לבנות תוכננית ואסטרטגיית מערך גיבוי, זה מילים יפות. באמת, מילים יפות, אבל איך עושים את זה? אז בואו נתחיל בכך שהבייסיקס זה להפריד את המחיצות שלכם.
מה זה אומר להפריד את המחיצות? אם מערכת ההפעלה של השארת נמצאת על כונן C לצורך העניין, אז נוכל באמת לשים על כונן D לוגים של המערכת ובכונן E נתונים, כך שאם כונן אחד נופל, הוא לא גרם לאפקט הדומינו והפיל את כל האחרים.
אם אתם רוצים באמת להרחיק לכת, יש גם בהארד דיסקים נוספים אפשר לבצע גיבויים שוטפים של המערכת שלכם כך שלכל יום בשבוע יהיה לכם גיבוי בין אם זה דיפרנציאלי או אינקרמנטלי שזה מילים שאני כרגע יודע שאתם קצת לא מכירות לכם המילים האלה אבל לא נורא או בין אם זה גיבוי מלא שזה מה שאתם כן מכירים
כרגע מי מכם שהתרסק קצת או עבד עם ווינדו 7 בעבר או כל מערך אחר הנקודה היא מאוד פשוטה אם אתם מתכוננים נכון ואתם יוצרים מערך גיבויים סדיר מחיצות, זה ברמה הפשוטה ביותר כמובן, דואגים שיהיה לכם דיסקים להעלות את המערכת במצב שכל המערכת קרסה, זה נקרא ווינארי, או אפילו סתם דיסק התקנה של שרת 2008, שאפשר להכניס אותו
למערכת ולהיכנס למצב ריסטור, סוג של מצב שחזור כזה, כלי שחזור. להגיד מצב ריסטור זה לא בדיוק הכי פוליטיקלי קורקט, כי אנחנו נראה בהמשך שיש מצב ייחודי בשם הזה, אבל ממש ביצוע שחזור של אימיוט שלם בעזרת דיסק winRE שם שמכניסים למערכת ומעלים את המערכת כאילו מתקינים עכשיו מחדש אבל במקום להתקין נכנסים ואומרים תקשיב
אני רוצה לתקן את המערכת אז צריך שיהיה לכם דיסק כזה איך אומרים בזמין ואם מדובר במערכת וירטואלית לצורך העניין אז עדיף שיהיה לכם קובץ ISO שהמערכת יכולה לקרוא שגם יבצע את העבודה הזאתי אז כל התכנון בהתאם למה שנראה בהרצאה הזאתי כל אחד יתאים לתוכנית לפי התרחיש והחברה שלו ובהחלט מה שנראה בהרצאה הזאת ייתן לכם את
הכלים לב אנחנו אומרים בזמין ואם זה מדובר במערכת וירטואלית לצורך העניין אז עדיף שיהיה לכם קובץ אייזו שהמערכת יכולה לקרוא שגם יבצע את העבודה הזאתי אז כל התכנון ותן להם מה שנראה בהרצאה הזאתי כל אחד יתאים לתוכנית לפי התרחיש והחברה שלו אבל בהחלט מה שנראה בהרצאה הזאת ייתן לכם את הכלים לבצע את זה בצורה נכונה אז איזה כלים בעצם יש לנו?
איזה כלים בעצם מייקרוסופט נתנה לנו פה? והאמת אני גם הוספתי פה כמה כלים שהם חיצוניים אבל הרוב המוחלט פה במה שאתם רואים במצגת אלו כלים מובנים אז בואו נראה מה יש לנו קודם כל יש לנו הגנה מובנית על אובייקטים בעלי חשיבות מה זה אומר?
אם אנחנו באים עכשיו למחוק איזשהו אובייקט באקטיב דירקטורי שלנו שהוא מאוד קרידי, לדוגמה OU לצורך העניין OU יכול להכיל בתוכו מאות של קבוצות, אלפי משתמשים ומחיקה של אובייקט מסוג כזה, אוי ואבוי זה אומר שאנשים לא יוכלו להתחבר למערכת, לא יוכלו לעבוד כל ההרשאות נמחקו, הלכו דברים, איום ונורא מייקרוסופט אמרה לנו, תקשיבו חברים
יש לנו מערכת מובנית להגנה על אובייקטים חשובים זאת אומרת כל אובייקט שנבוא למחוק, שהוא בעל חשיבות אנחנו פשוט נקבל שלילה מצד המערכת תגיד לנו access denied, אין לך הרשאה, האובייקט הזה מוגן בואו נצפה בזה לרגע, בואו נראה באמת איך זה קורה
מה זה ההגנה המועמדת על האובייקטים בעלי החשיבות האלה? שימו לב, אני כרגע נכנס פה למערכת וירטואלית של שרת 2008. המערכת הזאת היא בעלת דומן קונטרולר ואני אגש כרגע נגיד לכלי Active Directory Users and Computers.
בואו נצפה בדוגמה חיה של התהליך. שימו לב, אני אקים עכשיו משתמש, לצורך העניין אני אקים משתמש בשם עידו שגם הוא אדמיניסטרטור.
אני אשתמש בטכניקת הטמפלייט כדי לשכפל משתמש עם הרשאות מתאימות מבלי להעניק לאותו משתמש את ההרשאות האלה. זאת אומרת, לקחתי משתמש בעל עוצמה כמו אדמיניסטרטור ושכפלתי אותו, פשוט נתתי שם חדש, סיסמה חדשה, ולעידו יש שתי זכויות כמו של אדמיניסטרטור.
בואו באמת ניתן פה סיסמה, סליחה, לא סיסמה, אלא שם משתמש להתחברות. נעניק סיסמה, נסיים את התהליך. פיניש. בעצם, יש פה משתמש בשם עידו.
עכשיו אנחנו נקים לנו קבוצה, ואני אקרא לקבוצה הזאת טסט. בואו ניתן לה גם תיק גדולה בהתחלה, כדי שזה יהיה יפה יותר. קבוצה גלובלית מסוג סקיוריטי.
נפלא. ואני אקים לי גם יחידה ארגונית בשפה המקצועית OU. אני אקרא ל-OU הזו גם טסט.
עכשיו, אני לא יודע אם ראיתם את זה, אבל היה שם איזה צ'קבוקס קטן כזה, שאמר האובייקט הזה הוא אובייקט מוגן. זה קצת הורס לי את האבטלה, אבל לא נורא. אני כרגע אקח את עידו ואני אגרור אותו לטסט, שם בשבילה סדר הטוב, וכמו כן את הקבוצה טסט אני אגרור לטסט, מי שמכם זה קצת מצלצל או מוכר זה Shadow Group, ובואו נעשה ניסיון, באמת בואו נעשה טסט.
אני אגש לעידו ואני אעשה לו delete ואני אמחק אותו, ותראו עידו נמחק, ואני ניגש לטסט לקבוצה עצמה שהיא קבוצה, הקבוצה יכולה להכיל מאות משתמשים, אבל בכל זאת אני עושה לה delete והקבוצה נמחקת, תראו מה קורה כשאני ניגש ל-OU אם אני ניגש
ל-OU ועושה delete אני אקבל את ההודעה הבאה אין לך את ההרשאות המתאימות למחוק את ה-OU טסט אבל אני מסתכל פה על ההרשאות שלי ואני רואה שאני מחובר בתור אדמיניסטרטור לא סתם אדמיניסטרטור אלא רוט דומיין אדמיניסטרטור זאת אומרת שאני האדמיניסטרטור הכי חזק בכל התאגיד אז כיצד אין לי הרשאות?
מסיבה פשוטה מאוד בגלל המערך להגנה אותו מערך הגנה על אובייקטים חשובים מונע ממני למחוק זה כדי שאם בטעות מישהו בא ומחק את ה-OU הזה לא יגרם נזק עצום לחברה שלנו אז איפה מסתתר באמת המנגנון הזה? בואו נראה קודם כל אני אקים פה עוד OU רק כדי להראות לכם את הצ'קבוקס הקטן אתם רואים את הצ'קבוקס הזה?
פרוטק קונטיינר, תראיין על המכולה הזו ממחיקה לא מכוונת ואם אני אגש פה למאפיינים של האובייקט אני אוכל לראות כאן, שאומנם ה-o-tab כרגע לא מופיע, זה כי לא אפשרתי Advanced Feature, אבל פה זה יהיה.
שימו לב, אני רוצה לחשוף את ההגנה. אז אני ניגש ל-View, והולך ל-View ו-Advanced Features. זה נקרא פיצ'רים מתקדמים. שימו לב, כרגע הכל פה התרחב לי, נוספו פה אפילו עוד כמה OUים שלא היו קודם.
אני ניגש פה לטסט, לוחץ על מאפיינים, ותחת אובייקט שעכשיו מופיע, שימו לב, הכרטיסייה הזו לא הייתה קודם יש לי כאן את ה-v הקטן שראינו בשעת היצירה ה-v שמגן מפני מחיקה בלתי מכוונת אני מבטל את ה-v עושה אפליי עושה אוקיי ומנסה שוב שימו לב שהפעם ה-OU נמחק ואני רוצה רק להסביר פה להמחיש איזה משהו
זה המבחן שעשיתי אמנם בוצע על משתמש קבוצה ו-OU אבל זה לא אומר שאין ביכולתי להגן על משתמש חשוב לדוגמה אם אני אגש לאדמיניסטרטור אני אעשה פה פרופרטיז ואני אגש לאובג'קט שגם מופיע פה מצד ימין ואני אסמן את ה-v, שימו לב, אותו מנגנון גם ברמת היוזר אבל כברירת מחדל הוא
מופעל על OU ולא על יוזרים כי יוזרים כן מוחקים על בסיס קבוע מישהו פוטר, מישהו הועבר וכן הלאה, צריך להקים משתמש חדש אז כן מוחקים, קבוצות כן מוחקים OU זה כבר דבר שלא מוחקים באופן סדיר ולכן אנחנו נרצה להגן עליו אז באמת אני מקווה שהמנגנון הזה הוא מאוד פשוט,
מאוד מובנה ומאוד מאוד קל אני מקווה שזה ברור, שימו לב View Advanced Features כדי לצפות בכרטיסיית האובייקט שלא מופיעה במצב רגיל וסימון ה-Checkbox או ביטולו בהתאם למה שאתם רוצים לבצע אם הוא מסומן האובייקט יהיה מוגן ואם הוא לא, האובייקט יתאפשר למחיקה זה הכל
זה בעצם המנגנון המובנה להגנה על אובייקטים חשובים נחזור למצגת הדבר הבא, הכלי הבא שיש לנו, האמת זה לא בדיוק כלי, זה בית קברות אני לא צוחק כשאני אומר בית קברות הטומבסטון שלנו טומבסטון זה מי שמבין קצת אנגלית יודע שזה מצבה טומבסטון שלנו הוא בעצם
מקום שאליו הולכים כל האובייקטים שנמחקו כל אובייקט שנמחק מהאקטיב דירקטורי שלנו הולך ומתאחסם בטומבסטון ל-180 יום לאחר ה-180 יום הוא נעלם כל עוד האובייקט הזה נמצא בתוך הטומבסטון שלנו אנחנו יכולים לשחזר אותו עכשיו שימו לב יש מספר דרכים לשחזר אובייקט אם זה אובייקט בודד או אובייקטים מרובים, זה לא משנה כרגע.
הנקודה היא שיש מספר דרכים. אנחנו נוכל להשתמש בכלי ה-LDP, שמאפשר לנו להתחבר לכל מיני רבדים שונים במערכת, ביניהם גם לטומפסטון שלנו, ולשלוף משם פריטים על ידי ביצוע מניפולציה על אותם פריטים, ואנחנו נעשה להם שינוי מודיפיקיישן.
או על ידי תוכנה צד שלישית, צד שלישית סליחה, שהיא הרבה יותר נוחה מה-LDP, כמו שנראה, שנקראת Quest Object, מכונה Quest Object.
גרסה שהיא חינמית, אבל את הגרסה המלאה יש לקנות בכסף יש עוד כלי שאותו אני לא אזכיר פה, נקרא ADRestore הכלי הזה אמנם חינמי לחלוטין, אבל מכיוון שהQuest Object עולה עליו כמעט בכל אספקט אפשרי, מבחינת נוחות, מבחינת כל דבר אחר, אני אשתמש ב-Quest Object, כי מבחינה מקצועית
זה הרבה יותר נכון לבצע זאת כך. אז בואו באמת נראה דוגמה לשימוש ב-LDP וב-Quest Object. עכשיו חברים אני מבקש לא להיבהל מהשימוש ב-LDP כשמבינים את הלוגיקה הכל פשוט ניגש חזרה להשערה שלנו וכזכור לכם אני מחקתי קודם לכן את עידו ואת הקבוצה ואפילו OU
מחקנו אז בואו באמת נראה איך אנחנו מבצעים שימוש ב-LDP כדי להחזיר אובייקט אפשר לגשת ל-RUN אפשר גם לגשת ל-CMD אם אני אקיש LDP אני אקבל את הכלי ואם אני אלך ל-RUN ואקיש LDP אני גם אקבל את הכלי ואפילו יודו לכם נראה לכם פטנט שלא הרבה אנשים יודעים אם אני אגש לסרבר מנאג'ר, אני אראה לכם איזה שהוא באמת דבר יפה,
וניגש ל-Roles פה, ואני אקיש כאן, אני אוכל לראות על Active Directory, חיצה אחת בי ולא צריך להרחיב פה את האצי יותר מדי, סליחה.
תראו משהו מאוד מאוד מאוד מאוד יפה. כל הכלים שיש, שאנחנו רוצים להשתמש, יש לי כאן קיצור הדרך אליהם. אתם רואים, יש לי פה גם הסבר בדיוק מה כל דבר ודבר עושה.
דבר מאוד מאוד חביב, אני אגיש פה על ה-LDP רק כדי להמחיש, והנה ה-LDP נפתח. רואים? LDP ו-LDP, אותו דבר בדיוק. אז אחרי שראינו שלוש דרכים שונות לפתוח אותו, בואו נתחיל לעבוד איתו.
נסגור פה את העניין הזה, ונתחיל לבצע את הפעולות. קודם כל, השלב הראשון הוא לגשת ל-Connection. למה Connection? צריך להתחבר לשרת מסוים.
ולכן אני אגש פה ל-Connect, ואני אגיד את שם השרת המלא מטעמי סדר וארגון. עכשיו שימו לב, את שם השרת המלא אתה יכול לקבל ולצפות בשתי דרכים