(Veeam) Restore von Domain Controller

[tester78]

Hallo

ich habe 3 DCs.

2 x virtuell auf vmware gesichter durch Veeam B&R

1 x Physisch den PDC.

Angenommen der Serverraum mit allen Servern brennt ab.

Nun habe ich lediglich die beiden virtuellen DCs gesichert durch Veeam.

Nun denke ich das ich einen DC mit Veeam zurücksichere, starte, lande im AD Wiederherstellungsmodus und übernehme dort alle Rollen.

So wäre doch das Vorgehen, korrekt?

Oder kann mir Veeam dabei noch irgendwie helfen?
Vielleicht gibt es noch einen Unterschied zwischen Veeam Standard und Enterprise?

Danke

[Whitemoon]

Guten Abend,
ich würde schauen, dass alle FSMO Rollen auf den virtuellen DCs ist.
Im Worstcase stellst du den virtuellen DC wieder her und somit sind auch die Rollen sofort erreichbar. Danach kannst du nach und nach neue DCs in die Domäne aufnehmen und einen Metadata Cleanup durchführen.
Falls du Storage mit Snapshot-Technologie einsetzt, wäre es auch möglich die komplette Umgebung auf einen Schlag wiederherzustellen. Allerdings bin ich bei DCs immer übervorsichtig. Denn wenn das nicht sauber läuft, hast du mitelfristig noch mehr Probleme.

Oder kann mir Veeam dabei noch irgendwie helfen?
Vielleicht gibt es noch einen Unterschied zwischen Veeam Standard und Enterprise?

Die Unterschiede kannst du hier nachlesen. Interessant ist im Bezug aufs Active Directory der Veeam Explorer.


Gruß,
Dani

[monster900]

Moin,
grundsätzlich gibt es den Begriff PDC/BDC so nicht mehr (mind. seit Win2003)!
Alle DC sind heute gleichberechtigt. Ein DC in der Domäne muss die Betriebsmasterrollen übernehmen (FSMO Rollen). Und ja, alle FSMO Rollen können in normalgroßen Umgebungen problemlos auf einer Maschine laufen.

Ich würde daher wie bereits geschrieben dafür sorgen, dass virtl. DC alle FSMO-Rollen innehat.
Bei einem kompletten DR der Umgebung würde ich dann nur die virtuellen DC wieder herstellen und den physikalischen DC komplett außen vorlassen (vor dem DR vom Netz abklemmen nehmen)!
Hintergrund: Das Backup kann ja bereits 1-2 Tage alt sein. Bei einem DR in Verbindung mit dem pysikalischen DC riskierst Du dann einen USN Rollback!

Den 'toten' physikalischen DC kannst Du dann nach erfolgreichem DR manuell aus dem AD löschen.
Ein neuer DC ist ja Ruck-Zuck wieder installiert.

Wir haben hier überhaupt keinen physikalischen DC mehr am laufen. 1 DC läuft als VM auf dem lokalen RAID-1 eines Hosts. Die anderen beiden DC laufen als VM auf dem SAN.
Wird das SAN zerstört, so haben wir noch unseren virtuellen DC auf dem Host.
Wenn ich irgendwann hoffentlich mal einen Raum in einem 2. Brandabschnitt bekomme, werde ich den Backupserver dort unterbringen und den auch als DC einrichten.

Gruß
Dirk

[irix]

....... werde ich den Backupserver dort unterbringen und den auch als DC einrichten.

Mal davon abgesehen das Microsoft so nicht empfiehlt gibts auch div. Produkte welche sich auf einem DC nicht installieren lassen. Wir hatten mal den Fall das wir erst Software A installiert hatten... dann ihn zum DC hochstuften, alle waren Gluecklich... bis nach 1.5 Jahren ein Update von Software A anstand. Ich kann die sagen das man fuer das deuten der Fehlermeldung und Analyse eine Glaskugel in der Kristallausfuehrung gebraucht hätte.

Was mich aber primaer stoert das wenn Fremdsoftware mitlaueft ist die Tatsache das diese evtl. Sicherungswuerdig ist und dann muss man beim DR Recovery halt aufpassen. Ich behaupte einfach mal das die wenigsten nen DC im DSRM gestartet haben und finde es in kleinst umgebungen einfacher und schneller sich auf einen DC zu konzentrieren und den anderen wegzuschmeisse.

Das sieht in groesseren Umgebungen anders aus. 13 DCs is das groesste Anzahl bei einem Kunden hier und da ist es selbstredent das man die nicht alle wegschmeissen kann. Aber da ist es auch unwahrscheinlich das alle auf einmal weg sind und es geht eher um einen Teilrestore des ADs. Wer einmal ein paar Tausend Computerkonten verloren hat der weis das ......

Wer einen DC macht der sollte nix anderes drauf laufen lassen. Ob nun phys. oder virt. Meine Meinung[tm]


Zurueck zum Thema:
Protecting the Active Directory Domain Services –
Best practices for AD administration
https://www.veeam.com/blog/active-direc ... ction.html

Wobei ich meine das auf schnelle da nun nix neus drin steht.

Gruss
Joerg

[bla!zilla]

Moin,
grundsätzlich gibt es den Begriff PDC/BDC so nicht mehr (mind. seit Win2003)!

PDC und BDC gibt es seit Einführung von Active Directory mit Windows 2000 Server nicht mehr.