Active Directory Disaster Recovery: Domain Controller tot – und jetzt?

Ein ausgefallener Domain Controller ist unangenehm. Ein verlorenes Active Directory ohne getestete Wiederherstellung ist dagegen ein echtes Desaster. Dieser Guide erklärt die Grundprinzipien von System State, AD-Datenbank, SYSVOL, DNS, FSMO und Forest-Recovery.

Der wichtigste Grundsatz

Ein Domain Controller sollte nicht wie ein normaler Fileserver behandelt werden. Active Directory ist ein verteiltes System. Wenn mehrere gesunde DCs vorhanden sind, ist ein einzelner Hardwareausfall oft weniger dramatisch als der Verlust der gesamten Forest-Struktur.

System State ist entscheidend

Für die Wiederherstellung eines Domain Controllers gehört Active Directory zum System State. Microsoft dokumentiert die AD-Sicherung über den VSS-Mechanismus; der AD Writer liefert die benötigten Komponenteninformationen.

Ein zweiter DC ist kein Backup

Replikation ist Hochverfügbarkeit, kein historisches Backup. Wird ein falsches Objekt gelöscht oder Schadsoftware repliziert, repliziert der Fehler ebenfalls. Deshalb braucht man zusätzlich echte Backups.

DNS nicht vergessen

Active Directory hängt eng mit DNS zusammen. Eine Recovery ohne funktionierende DNS-Struktur kann zu schwer nachvollziehbaren Folgefehlern führen.

FSMO-Rollen verstehen

Schema Master, Domain Naming Master, RID Master, PDC Emulator und Infrastructure Master sollten dokumentiert sein. Vor einem Desaster sollte klar sein, welcher DC welche Rollen hält.

Replikation prüfen

Vor jeder geplanten Wartung `repadmin /replsummary`, `repadmin /showrepl` und `dcdiag` prüfen. Ein Backup eines bereits beschädigten AD-Zustands ist kein guter Ausgangspunkt.

repadmin /replsummary
repadmin /showrepl
dcdiag

Non-Authoritative Restore

Wenn ein DC verloren gegangen ist, aber andere DCs mit einem aktuellen Verzeichnis existieren, wird der wiederhergestellte DC typischerweise wieder in die Replikation gebracht.

Authoritative Restore

Wenn bestimmte Verzeichnisdaten bewusst als maßgebliche Version zurückkommen müssen, ist ein autoritativer Restore ein anderes Verfahren. Das ist ein Spezialfall und sollte vorher geplant und dokumentiert werden.

Forest Recovery

Beim Verlust mehrerer oder aller Domain Controller wird die Sache grundlegend anders. Microsoft behandelt Forest Recovery als eigenes Notfallverfahren. Eine solche Recovery sollte nicht zum ersten Mal im echten Desaster ausprobiert werden.

Restore-Test

Ein guter Backup-Job ist einer, dessen Restore regelmäßig geübt wird. Testumgebungen, getrennte VLANs oder isolierte Hyper-V-Netze können dafür sehr wertvoll sein.

Was dokumentiert werden sollte

Domänenname, Forest, FSMO-Rollen, DNS-Zonen, IP-Adressen, Subnetze, Sites, Administrator-Konten, Backup-Speicherorte, Recovery-Medium und die genaue Restore-Prozedur.

Fazit

Active-Directory-Backup ist weniger eine Frage des perfekten Tools als eine Frage der Recovery-Fähigkeit. Wer System State sichert, Replikation überwacht und den Restore testet, ist einem ungetesteten Backup weit voraus.