灾难恢复计划

调整 Active Directory

灾难恢复计划

作者

Shawn Barker 产品经理

Quest Software, Inc.

Copyright Quest Software, Inc. 2007. All rights reserved.

This guide contains proprietary information, which is protected by copyright. The software described in this guide is furnished under a software license or nondisclosure agreement. This software may be used or copied only in accordance with the terms of the applicable agreement. No part of this guide may be reproduced or transmitted in any form or by any means, electronic or mechanical, including photocopying and recording for any purpose other than the purchaser's personal use without the written permission of Quest Software, Inc.

WARRANTY

The information contained in this document is subject to change without notice. Quest Software makes no warranty of any kind with respect to this information. QUEST SOFTWARE SPECIFICALLY DISCLAIMS THE IMPLIED WARRANTY OF THE MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE. Quest Software shall not be liable for any direct, indirect, incidental, consequential, or other damage alleged in connection with the furnishing or use of this information.

TRADEMARKS All trademarks and registered trademarks used in this guide are property of their respective owners.

World Headquarters 5 Polaris Way

Aliso Viejo, CA 92656

www.quest.com e-mail: [email protected]

U.S. and Canada: 949.754.8000

Please refer to our Web site for regional and international office information. Updated—March 23, 2007

目录

简介 ................................................................................. 1

日常 ACTIVE DIRECTORY 灾难........................................... 2

林级范围灾难....................................................................... 4

员工恶意报复的风险............................................................... 5

影响与费用.......................................................................... 6

快速本地恢复？三思而后行...................................................... 8

“我从没想过这会发生在我身上”............................................... 9

为什么选择 QUEST.............................................................. 12

结论.................................................................................. 13

更多信息............................................................................. 14

关于作者............................................................................. 15

关于 QUEST SOFTWARE, INC. ........................................... 16

简介

许多组织使用 Active Directory (AD) 来管理员工和可能的合作伙伴的登录。AD 还可用于授予这些用户访问网络资源和应用程序的权限。由于一切从 AD 身份验证开始，因此贵组织拥有一组可靠实用的恢复策略至关重要。

完善的灾难恢复策略应该包罗组织的所有方面，包括公司数据库和文件。AD 恢复方式应非常全面。

AD 对于贵组织所依赖的应用程序的支持至关重要。如果没有 AD，您将会失去 Exchange、协作、实时通信、SharePoint 和其它功能。AD 数据的丢失会对贵组织的成功运作造成非常严重的影响。

本白皮书将帮助您了解与 AD 可用性相关的风险和费用，以及通过使用全面的 AD 恢复解决方案可实现的成本、工作效率和时间的节省。

1

日常 ACTIVE DIRECTORY 灾难

任何组织的日常运营都会出现问题。这是不可避免的。这些多个领域中问题的原因有很多种。下面我们将讨论这些领域的其中一些。

人为错误

管理员可能会不小心删除整个组织单元 (OU) 而不是删除特定的用户，删除会导致关键应用程序故障的服务帐户，或对组策略对象 (GPO) 进行了不当的更改。这些错误中的任何一个都可能会禁用成百上千的用户帐户。

恶意的行为

如果在职员工或最近终止合约的员工及外部服务提供商怀有恶意，则贵组织会处于危险境地。 这些人可能会寻找系统和数据的访问途径，并利用他们的知识造成重大的破坏。据《Entrepreneur Magazine》统计，五分之四与 IT 有关的犯罪都发生在组织内部。此外，CSO Online 报告说，49% 的公司深受内部安全性违规之害。待到您的网络受到攻击再开始计划就为时已晚——您需要在灾难发生之前备有诊断和恢复工具。

病毒

病毒可损坏 AD 数据，并且本地复制进程会将这些有害的更改传播到整个网络。当然，杀毒软件能够提供外部保护，但您必须对在网络中传播并影响环境的病毒做出快速反应。

软件故障

在安装/使用 那些使用 AD 的应用程序（如 Exchange）或身份管理工具（如

Microsoft Identity Integration Server (MIIS)）的过程中，应用程序将会覆盖或更改重要的 AD 数据。如果 MIIS 配置错误，则会轻易地清除重要的目录数据和对象。很明显，这些应用程序会对 AD 操作方式以及用户与 AD 的交互方式带来不良影响。如果准备好适当的恢复工具，则可以迅速地修正这些意外的结果。 2

意外的结果

管理员可能会使用脚本来设置 AD 中的一个扩展属性，但没想到该属性包含了用于另一个关键任务应用程序的数据。结果是应用程序由于遭到更改而无法再正常工作。因此必须尽快恢复数据。

这些问题中的任何一个都可导致日常灾难，例如删除的用户、组和 OU 或丢失的数据（如遭到覆盖或消除的 AD 属性，包括电子邮件地址和目录配置值）。

使用本地工具从这些灾难中恢复需要耗费时间、人力以及可能的系统停机时间。幸运的是，如果您拥有适当的计划和软件，便可迅速地解决这些灾难，并将对最终用户的破坏降至最低。 3

林级范围灾难

尽管许多常见的情况可导致日常灾难，但更严重的问题还可影响整个 AD 林。

一般来说，如果林中的任何域控制器均无法正常工作，或者损坏的域控制器会向新的域控

制器发送危险数据，则必须进行林级恢复。下面讨论了一些常见的林级故障原因。

架构扩展出现偏差

不适当地架构扩展到整个系统时容易导致无法预见的问题，对每个域控制器上的 AD 数

据库及其有效工作的能力都会产生不良影响。对架构的更改或扩展操作进行回滚的唯一途

径是将整个林恢复到发生更改之前的某一时间点。

不可逆转的数据库损坏

病毒、故障以及使用目录的应用程序均可引起 AD 问题，从而可能导致数据库不可逆转

的损坏。后果是造成目录和关键业务应用程序出现长时间的停机。此停机时间会对最终用

户的工作效率造成相当大的影响，从而最终影响到组织的盈利。

林级故障的一些示例包括：

　 林中的复制功能不正常。

　 无法在任意的域控制器上对 AD 进行更改。

　 无法向任意域添加新的域控制器。

　 所有依靠 AD 的业务应用程序均无法正常工作。

　 具有管理员权限的员工因心怀不满而破坏 AD 架构。 　 具有管理员权限的员工无意中运行了跨 AD 林传播损坏数据的脚本。

　 AD 架构有意或无意地扩展了恶意或冲突的更改。

为林级范围的灾难恢复做准备需要相当复杂的过程和计划以及对本地 AD 恢复工具的深入了解。 4

员工恶意报复的风险

下表 1 中列出的情况并非在每个组织中都会发生，因此经常会被“不会发生在我们身上”这种态度所忽略。但它的确会在一些组织中发生，并且后果可能很严重。您可能认为这种几率象一棵树落到您的房子上那么小。这种情况会发生吗？ 也许不会，但万一它发生了，而您却没有一个意外事故计划或保险来挽回成本，那么您会发现自己无所庇护，并且可能需要因此而付出巨额费用。

表 1. 留有系统访问权限的员工因心怀不满而造成破坏的示例。viii

几天来，一个每年 10 亿美元营业额的计算机显示器制造商的职员们无法访问关键文件，

因为文件已被前任网络管理员删除。

一名离职的 AS/400 程序员从远程位置侵入网络后，给其前任雇主造成了 80,000 美元的损失。

某家运输服务公司的一名被解雇的管理员删除了客户数据库并更改了系统密码。

一名离职员工访问了公司的服务器，然后删除了 675 个文件、更改了访问控制级别、变更了帐单记

录，并以公司名义向数百家公司客户发送了含有虚假声明的电子邮件。5

影响与费用

不论发生故障的原因是什么（人为错误、恶意行为、病毒或意外的结果），都会带来与其

相关的影响和费用。以下由独立研究机构公布的数据应该能使您对于故障可对环境产生的

盈利影响有一些认识。

　 根据 E-Office 的数据，一个典型的大型网络每个月会经历 1.76 次故障，每次持

续时间超过 90 分钟。i

　 根据 International Data Corporation 的研究，大型公司的平均网络停机代价

是每小时 84,000 美元（或每分钟 1,400 美元）。ii

　 根据 E-Office 的数据，大型公司因网络停机时间造成的损失占年收入的 3.6%。iii

　 据 E-Office 报告，应用程序停机时间的主要原因是软件故障 (36%)，其次是人为

错误 (22%)。iv

　 根据 CIO Today 的数据，因停机时间造成的每小时损失，在零售经纪行业平均

为 650 万美元，在航空公司订票中心为 90,000 美元，在行李托运服务行业为

28,000 美元，在制造业为 27,000 美元，在银行业为 17,000 美元。v

　 根据 Digital V6 corp. 的数据，对于一个 400 人的公司，停机时间的代价为每小

时 13,170 美元。vi

　 根据 Performance Technologies 的数据，对于一个 200 人的公司，停机时间的代价为每小时 5,300 美元。vii

让我们以上述研究数字为依据来生成一个简要图表：

大型公司的故障费用

90

158.4

$1,400

$221,760

$2,661,120 平均故障分钟 (Thierry Lammers/Infotechs) 每月的平均故障分钟 每分钟的平均停机时间代价 (Oracle Survey/IDC Study) 每月的平均停机时间代价 每年的平均停机时间代价 6

小型公司的故障费用

2 60

120

$13,170

$316,080 假定每月故障数 假定平均故障分钟 每月的平均故障分钟 每小时的平均停机时间代价 (Digital V6 Corp.) 每月的平均停机时间代价 每年的平均停机时间代价

不论处于上述表格中的哪个位置，您都很快会发现 停机时间代价不菲并且费用会迅速增加。

不论造成停机的原因是什么，组织都需要为其做好准备，并且在其发生时有行动计划。可将其比作家庭财产保险。人们不会希望自己家遭受火灾以及财产遭到破坏，但几乎我们所有人都买了这种保险以防万一。如果没有家庭财产保险将其资产损失的风险减至最低，银行会拒绝为其提供贷款。考虑一下上述数字和计算得出的损失，您是否能够承受灾难恢复计划中没有快速 AD 恢复解决方案的后果？ 7

快速本地恢复？三思而后行为避免代价高昂的停机代价，您的灾难恢复计划必须将 AD 灾难考虑在内。计划必须能迅速实现 日常灾难的在线恢复，以减少或完全避免停机时间带来的费用。还必须能解决林级范围的故障以 及发生影响整个目录的灾难时如何简化恢复。此外，该计划应该不仅仅利用现成的 Microsoft 工 具 ， 如 Windows Server 2003 中 的 Windows Backup (NTBackup) 实 用 程 序 和 Tombstone Reanimation。本地恢复工具和方法有许多缺陷和局限性。 　 它们都是手动操作，因此在恢复过程中会引入人为错误 　 需要熟练掌握命令行实用程序的知识才可使用这些工具，这可能会延长恢复操作的时间 　 恢复非常耗时，可能需要几小时甚至几天来完成 　 它们可能需要系统停机，这将直接影响最终用户的使用 　 它们通常是不完善的，因此受影响的对象无法完全恢复到故障前的状态 在林级范围的故障中，仅仅依靠本地工具甚至可能需要付出更高的代价。以下是一些难点： 　 成功的林级恢复需要对恢复步骤有详细了解 　 管理员必须熟练掌握主机中的各种本地实用程序和工具的相关知识 　 本地恢复工具需要大量的人力和繁琐的操作步骤；一个错误就可能会导致恢复失败。 　 一次只能恢复一个系统，并且每个系统都需要管理员的手动操作。 所有这些难题和缺陷均会导致恢复过程的延时，这会对最终用户的工作效率和组织的盈利产生重 大的影响。 您购买家庭财产保险的原因在这里又一次适用。如果 AD 没有适当的保险（在这种情况下，即由 相应第三方工具增加的安全灾难恢复计划），其后果可能是毁灭性的。8

“我从没想过这会发生在我身上”因人为错误而造成故障的一些代表性观点包括：“我们不会在 AD 中出错；我们都是经验丰富的管理员。” “我们使用 AD 时非常小心，因此我们出错的几率很小。” “如果有必要，我们可以使用本地工具迅速地恢复和重建对象。”以下是一些真实的案例，管理员持有相同的观点，直到意外发生他们才改变观点并认识到了恢复 解决方案（如 Quest Recovery Manager for Active Directory）的价值。这一全面的恢复解 决方案提供了从快速、可扩展的细微对象恢复到整个林级恢复的功能。 “Quest Software 确实是 Active Directory 保护这个难题独一无二的解决方案。Quest 为我 们提供的正是我们想要的功能： Active Directory 的在线精细恢复。我们面临的选择是：需要 12 到 24 个小时响应时间的本地工具和只需要 10 分钟响应时间的 Quest方案。这个选择对我们来说非常简单。” “我可不想在没有这个产品的情况下尝试和管理 Active Directory。很多情况下用户会意外删 除，但我们不仅能恢复该对象，还能恢复访问控制列表 (ACL)。这节省了大量的时间。我们就认 为可能会发生的各种情况运行了大量的模拟测试，而该产品的表现堪称完美。在一个测试中，我 们对 含有 5,000 个对象的整个 OU 的意外删除情况进行了模拟。我们用了不到 27 分钟就完成了恢 复，并且恢复是跨线路进行的。我们在几分钟之内即可恢复个别的对象。”– Larry Brandolph，架构技术经理 Leading national health insurer“ Charlotte-Mecklenburg Schools 曾 经遭 受了 一次重 大的 灾难 ， 有 650 个 组 策略 对象 (GPO) 被删除。恢复是一个手动的、非常耗时的过程。使用本地工具恢复需要复制 GPO。有的 服务器有 200 个 GPO，而有些甚至有 700、800 和 1000 或更多。我们两个人 几乎花了整整三个星期才搞定所有问题。现在，使用准备好的 Recovery Manage，类似的情况只需要不到两 个小时即可修复。”– Jim Boyer，高级 IT 架构师 SRS Technology（Charlotte-Mecklenburg Schools 的咨询公司）9

工作人员忙于处理大量的故障排除和问题解决工作。这在整个学校系统内引起了各种波 动。如果使用准备好的 Recovery Manager，我们可以更迅速地恢复数据、更快地处理 各种事宜以及更早地恢复正常操作。我们得到了一个代价昂贵的教训。”“在 2003 到 2004 学年末进行手动恢复损失的工作中，我们的资源成本非常高。除了 Charlotte-Mecklenburg Schools 的员工，各承包商也参与了解决问题。所有 100 个 AD 站点都受到了不良影响。系统安全性遭到了破坏，我们在校的技术协调人员和服务台– Wayne Shumate Charlotte-Mecklenburg Schools“上次我进行域控制器的授权还原花了大约四个小时才搞定一切，使系统回到正轨。利用 Recovery Manager ，只需 10 分钟我们即可完成该操作。这至少节约了 75% 到 80% 的恢复时间。” “Recovery Manager for Active Directory 不仅可以恢复特定的帐户，它还可以告知 我们该帐户的安全标识符 (SID)。最近，我们无意中删除了一个用于启动非常重要的验证 系统上服务的帐户，切断了一个非常重要的应用程序的访问。技术人员没有去尝试恢复帐 户，而是决定重新创建该帐户，但这无济于事。 我们立即转而使用 Recovery Manager。 我们使用 Recovery Manager 查看了 SID 历史记录，然后根据该信息成功地从正确的 日期进行了恢复。Recovery Manager 使我们化险为夷。”– Joe Davis，高级架构师 Tyco HealthcareQuest Software 最近对 158 家公司进行了调查，并收集了一些您可能感兴趣的回应，如 图 1 所示： 　 60% 的回答者报告说，一年中至少会有一次删除 AD 中对象的意外情况 　 38% 的回答者报告说，一年中会有很多次删除 AD 中对象的意外情况10

38%40%22%报告说每年没有意外情况 报告说每年有一次意外情况 报告说每年有多次意外情况图 1. 每年 AD 意外情况的次数根据 Quest Software 的全球调查结果得出。很可能您也会遇到删除对象的情况。现在，请问问您自己： 　 恢复这些对象需要花多少时间？ 　 这些删除的对象对 AD 的性能和可用性会有什么影响？ 　 因删除对象而使 IT 人员花费的恢复时间是多少以及对用户的影响是什么？ 　 拥有在几分钟内恢复删除对象的能力与花几小时或几天进行恢复相比，前者是否更值 得？11

为什么选择 QUEST市场认可度　 已有 1,500 多位客户部署了 Recovery Manager for Active Directory 　 Recovery Manager for Active Directory 保护着 1400 多万个 AD 帐户 　 Recovery Manager for Active Directory 自 2001 年起已经开始为企业级客户 提供 AD 数据保护 　 Quest 是 AD 方面的专家；它是除 Microsoft 以外雇用的 AD 开发人员数量最多 的公司产品成熟度Quest 提 供 了 一 个 成 熟 并 且 可 扩 展 的 产 品 ， 满 足 了 组 织 AD 恢 复 的 所 有 需 要 。 Recovery Manager for Active Directory 是唯一一个具有以下功能的产品： 　 支持 AD 中所有对象的恢复。Quest 客户可以从任何类型的删除中进行恢复，包 括复制配置、站点、子网、GPO、Exchange 存储以及管理组和二进制属性。 　 在发生林级范围灾难时能够简化和自动进行林级恢复。 　 提供完善的平台支持，包括 Windows 2000 和 Microsoft Active Directory Application Mode (ADAM)。 　 支持现有的备份架构以加速恢复和降低存储要求。 　 提供整个 AD 的不同备份，可启用更频繁的备份。12

结论无论停机时间是由人为错误、意外的结果、恶意的行为、病毒和/或软件故障引起的，如 果没有恢复解决方案来降低 AD 停机时间带来的费用和影响，贵组织都将无法承受。一 旦 意 外 情 况 已 经 发 生 即 为 时 已 晚 。 不 要 存 在 侥 幸 心 理 。 请 使 用 Quest 市 场 领 先 的 Recovery Manager for Active Directory 来保护您自己和贵组织。13

更多信息Recovery Manager for Active Directory 网站： http://www.quest.com/recovery_manager_for_active_directory/网络广播：“Tips & Tricks of Recovery Manager for Active Directory” http://www.quest.com/events/listdetails.aspx?ContentID=3682&site=&prod =&technology=&prodfamily=&loc=简单演示： http://wm.quest.com/products/recoverymanagerad/demo/rmad_demo.htm试用下载： http://www.quest.com/downloads/?requestdefid=794014

关于 Quest Software, Inc.：Quest Software, Inc. 是一家国际领先的软件公司，致力于通过创新型软件产品，帮助用户 提高应用程序、数据库和 Windows 架构的性能和IT 人员工作效率。凭借其在 IT 运营方 面深厚的专业技能和对业界最佳实践的不懈探索，Quest Software 帮助全球 50,000 多家 用户满足其对企业 IT 系统的更高要求。 Quest Software 总部位于美国加利福尼亚州的 Aliso Viejo，在全球各地拥有办事处或分公 司，公司网址为：http://www.quest.com 。Quest 虹天软件（北京）有限公司北京总部 北京市东城区东长安街 1 号东方广场 C1 办公楼 501 室 邮政编码： 100738 电话：(86) 10.8518 5651 传真：(86) 10.8515 1322 上海办事处 上海静安区北京西路 1701 号静安中华大厦 2210 室 邮政编码： 200040 电话：(86) 21.6288 4994 传真：(86) 21.6288 4974广州办事处 广州市天河北路 183 号大都会广场 1013 室 邮政编码： 510620 电话：(86) 20.8755 4820 传真：(86) 20.8755 4860 香港办事处 Quest Software Greater China Limited 16th Floor, Centre Point 181-185 Gloucester Road Wanchai, Hong Kong Tel : 852-2831 1000 Fax : 852-2838 3093

ABOUT THE AUTHORShawn Barker is a product manager for Recovery Manager for Active Directory and other Windows Management solutions at Quest Software. For nearly ten years, Shawn has worked with Global 2000 and other large enterprises to understand their network and operational challenges. Armed with this experience, he has worked with Quest’s R&D team to develop Active Directory management solutions.15

ABOUT QUEST SOFTWARE, INC.Quest Software, Inc. delivers innovative products that help organizations get more performance and productivity from their applications, databases and Windows infrastructure. Through a deep expertise in IT operations and a continued focus on what works best, Quest helps more than 50,000 customers worldwide meet higher expectations for enterprise IT. Quest Software can be found in offices around the globe and at www.quest.com.Contacting Quest SoftwarePhone: Email: Mail: 949.754.8000 (United States and Canada) [email protected] Quest Software, Inc. World Headquarters 5 Polaris Way Aliso Viejo, CA 92656 USA www.quest.comWeb sitePlease refer to our Web site for regional and international office information.Contacting Quest SupportQuest Support is available to customers who have a trial version of a Quest product or who have purchased a commercial version and have a valid maintenance contract. Quest Support provides around the clock coverage with SupportLink, our web self-service. Visit SupportLink at http://support.quest.com From SupportLink, you can do the following: Quickly find thousands of solutions (Knowledgebase articles/documents). 　 Download patches and upgrades. 　 Seek help from a Support engineer. 　 Log and update your case, and check its status. View the Global Support Guide for a detailed explanation of support programs, online services, contact information, and policy and procedures. The guide is available at: http://support.quest.com/pdfs/Global Support Guide.pdf16

NOTES

i – ii –

iii – iv – v –

vi –

vii –

viii -

17