8.2. Forest Edition. Bereitstellungshandbuch

Transkript

1 8.2 Forest Edition Bereitstellungshandbuch

2 2012 Quest Software, Inc. ALLE RECHTE VORBEHALTEN. Dieses Handbuch enthält urheberrechtlich geschützte Informationen. Die im vorliegenden Handbuch beschriebene Software unterliegt den Bedingungen der jeweiligen Softwarelizenz oder Geheimhaltungsvereinbarung. Die Software darf nur gemäß den Bedingungen der Vereinbarung benutzt oder kopiert werden. Diese Anleitung darf ohne schriftliche Erlaubnis von Quest Software Inc. weder ganz noch teilweise in beliebiger Form oder durch beliebige elektronische oder mechanische Hilfsmittel einschließlich des Fotokopierens und Speicherns für andere Zwecke als den persönlichen Gebrauch des Käufers vervielfältigt oder weitergegeben werden. Die Informationen in diesem Dokument werden in Verbindung mit Quest-Produkten zur Verfügung gestellt. Durch dieses Dokument wird weder explizit noch implizit, durch Duldungsvollmacht oder auf andere Weise eine Lizenz auf intellektuelle Eigentumsrechte erteilt, auch nicht in Verbindung mit dem Erwerb von Quest-Produkten. MIT AUSNAHME DER BESTIMMUNGEN IN DEN ALLGEMEINEN GESCHÄFTSBEDINGUNGEN VON QUEST, DIE IN DER LIZENZVEREINBARUNG FÜR DIESES PRODUKT AUFGEFÜHRT SIND, ÜBERNIMMT QUEST KEINERLEI HAFTUNG UND SCHLIESST JEDE EXPLIZITE, IMPLIZITE ODER GESETZLICHE GEWÄHRLEISTUNG FÜR SEINE PRODUKTE AUS, INSBESONDERE DIE IMPLIZITE GEWÄHRLEISTUNG DER MARKTFÄHIGKEIT, DER EIGNUNG ZU EINEM BESTIMMTEN ZWECK UND DIE GEWÄHRLEISTUNG DER NICHTVERLETZUNG VON RECHTEN. UNTER KEINEN UMSTÄNDEN HAFTET QUEST FÜR UNMITTELBARE, MITTELBARE ODER FOLGESCHÄDEN, SCHADENERSATZ, BESONDERE ODER KONKRETE SCHÄDEN (INSBESONDERE SCHÄDEN, DIE AUS ENTGANGENEN GEWINNEN, GESCHÄFTSUNTERBRECHUNGEN ODER DATENVERLUSTEN ENTSTEHEN), DIE SICH DURCH DIE NUTZUNG ODER UNMÖGLICHKEIT DER NUTZUNG DIESES DOKUMENTS ERGEBEN, AUCH WENN QUEST ÜBER DIE MÖGLICHKEIT SOLCHER SCHÄDEN INFORMIERT WURDE. Quest übernimmt keine Garantie für die Richtigkeit oder Vollständigkeit der Inhalte dieses Dokuments und behält sich vor, jederzeit und ohne vorherige Ankündigung Änderungen an den Spezifikationen und Produktbeschreibungen vorzunehmen. Quest geht keinerlei Verpflichtung ein, die in diesem Dokument enthaltenen Informationen zu aktualisieren. Bei Fragen zur möglichen Verwendung dieser Materialien wenden Sie sich an: Quest Software World Headquarters LEGAL Dept 5 Polaris Way Aliso Viejo, CA legal@quest.com Informationen über unsere lokalen und internationalen Büros finden Sie auf unserer Website. Marken Quest, Quest Software, das Quest Software-Logo, Aelita, Akonix, Akonix, AppAssure, Benchmark Factory, Big Brother, ChangeAuditor, DataFactory, DeployDirector, ERDisk, Foglight, Funnel Web, GPOAdmin, I/Watch, Imceda, InLook, IntelliProfile, InTrust, Invertus, IT Dad, I/Watch, JClass, Jint, JProbe, LeccoTech, LiteSpeed, LiveReorg, MessageStats, NBSpool, NetBase, Npulse, NetPro, PassGo, PerformaSure, Quest Central, SharePlex, Sitraka, SmartAlarm, Spotlight, SQL LiteSpeed, SQL Navigator, SQL Watch, SQLab, Stat, StealthCollect, Tag and Follow, Toad, T.O.A.D., Toad World, vanalyzer, vautomator, vcontrol, vconverter, vessentials, vfoglight, vmigrator, voptimizer Pro, vpackager, vranger, vranger Pro, vreplicator, vspotlight, vtoad, Vintela, Virtual DBA, VizionCore, Vizioncore vautomation Suite, Vizioncore vessentials, Xaffire und XRT sind Marken und eingetragene Marken von Quest Software, Inc in den Vereinigten Staaten von Amerika und anderen Ländern. Andere in dieser Anleitung verwendete Marken und eingetragene Marken sind Eigentum ihrer jeweiligen Inhaber. Beiträge von Drittanbietern Recovery Manager for Active Directory Forest Edition enthält Komponenten von Drittanbietern (siehe Liste unten). Die entsprechenden Lizenzkopien finden Sie auf unserer Website unter KOMPONENTE LIZENZ ODER BESTÄTIGUNG Boost Boost Softwarelizenz 1.0 ZLib ZLib Recovery Manager for Active Directory Forest Edition - Bereitstellungshandbuch Aktualisiert 31. Januar 2012 Softwareversion 8.2

3 INHALT ZIELGRUPPE DIESES HANDBUCHS FORMATIERUNGSKONVENTIONEN ÜBER QUEST SOFTWARE, INC KONTAKT ZU QUEST SOFTWARE KONTAKT ZUM QUEST SUPPORT EINLEITUNG ÜBER RECOVERY MANAGER FOR ACTIVE DIRECTORY FOREST EDITION ERFORDERLICHE BERECHTIGUNGEN FÜR DIE INSTALLATION UND VERWENDUNG VON RECOVERY MANAGER INSTALLIEREN VON RECOVERY MANAGER VERWENDEN DES INSTALLATIONSASSISTENTEN DURCHFÜHREN EINER AUTOMATISCHEN INSTALLATION INSTALLIEREN DES FOREST RECOVERY-AGENTEN PLANEN DER ACTIVE DIRECTORY-GESAMTSTRUKTURWIEDERHERSTELLUNG ENTWICKELN EINES BENUTZERDEFINIERTEN GESAMTSTRUKTUR-WIEDERHERSTELLUNGSPLANS VOR DER WIEDERHERSTELLUNG AUSZUFÜHRENDE SCHRITTE ERSTELLEN EINES GESAMTSTRUKTUR-WIEDERHERSTELLUNGSPROJEKTS TESTEN DES GESAMTSTRUKTUR-WIEDERHERSTELLUNGSPROJEKTS WIEDERHERSTELLEN EINER ACTIVE DIRECTORY-GESAMTSTRUKTUR ENTSCHEIDEN, WANN EINE GESAMTSTRUKTURWIEDERHERSTELLUNG DURCHGEFÜHRT WERDEN SOLL AUSWÄHLEN DER ZU VERWENDENDEN SICHERUNGEN AUSWÄHLEN DER WIEDERHERZUSTELLENDEN DOMÄNENCONTROLLER EMPFOHLENE VORGEHENSWEISEN FÜR DAS BEREITSTELLEN DER RECOVERY MANAGER-KONSOLE EMPFOHLENE VORGEHENSWEISEN FÜR DIE VERWENDUNG VON COMPUTERSAMMLUNGEN.. 21 EMPFOHLENE VORGEHENSWEISEN FÜR DAS AUSFÜHREN VON WIEDERHERSTELLUNGEN UNTERSCHIEDE ZWISCHEN AGENTENBASIERTEN UND AGENTENLOSEN METHODEN DER WIEDERHERSTELLUNG AGENTENLOSE METHODE AGENTENBASIERTE METHODE WIEDERHERSTELLEN VON KENNWÖRTERN UND DES SID-VERLAUFS iii

4 Recovery Manager for Active Directory Forest Edition BEIBEHALTEN DER KENNWÖRTER UND DES SID-VERLAUFS IN OBJEKT-TOMBSTONES EMPFOHLENE VORGEHENSWEISEN FÜR DAS ERSTELLEN VON SICHERUNGEN ENTWICKELN EINES SICHERUNGS- UND WIEDERHERSTELLUNGSPLANS FESTLEGEN DER ZU SICHERNDEN DOMÄNENCONTROLLER UND DER ENTSPRECHENDEN ZEITPLÄNE METHODEN ZUR BEREITSTELLUNG DES SICHERUNGSAGENTEN BEIBEHALTEN DER NEUEN SICHERUNGEN SPEICHERORT VON SICHERUNGEN SPEICHERN VON SICHERUNGEN FÜR EINE GRANULARE ONLINE- ODER EINE VOLLSTÄNDIGE OFFLINE-WIEDERHERSTELLUNG SPEICHERN VON SICHERUNGEN FÜR DIE GESAMTSTRUKTURWIEDERHERSTELLUNG ERSTELLEN DIFFERENZIELLER SICHERUNGEN TECHNISCHE DATEN TYPISCHE GRÖßE DER DATENBANKEN MICROSOFT ACCESS-DATENBANKDATEIEN BERICHTSDATENBANKDATEIEN STANDARDZEITEN FÜR DIE ERSTELLUNG VON SICHERUNGEN EMPFEHLUNGEN STANDARDZEITEN FÜR DAS ENTPACKEN VON SICHERUNGEN VON RECOVERY MANAGER VERWENDETE PORTS iv

5 Bereitstellungshandbuch Zielgruppe dieses Handbuchs Dieses Dokument soll als Einführung in Recovery Manager for Active Directory Forest Edition dienen. Das Handbuch Bereitstellungshandbuch enthält Informationen, die für die Installation und Verwendung von Recovery Manager for Active Directory Forest Edition erforderlich sind. Es richtet sich an Netzwerkadministratoren, Berater, Analysten und andere IT-Fachleute, die das Produkt verwenden. Formatierungskonventionen In diesem Handbuch werden bestimmte Formatierungskonventionen eingehalten, die Ihnen dabei helfen sollen, es so effizient wie möglich zu verwenden. Diese Konventionen werden auf unterschiedliche Vorgänge, Symbole, Tastenkombinationen und Querverweise angewandt. ELEMENT Auswählen Fettdruck Kursivdruck Fetter Kursivdruck Blaue Schrift KONVENTION Dieses Wort bezieht sich auf Vorgänge, wie zum Beispiel das Auswählen oder Markieren diverser Benutzeroberflächenelemente wie Dateien und Ordner. In Quest Software-Produkten angezeigte Benutzeroberflächenelemente wie zum Beispiel Menüs und Befehle. Wird für Anmerkungen verwendet. Wird zur Hervorhebung verwendet. Zeigt einen Querverweis an. Kann in Adobe Reader als Hyperlink verwendet werden. Wird zum Hervorheben zusätzlicher Informationen verwendet, die für den jeweils beschriebenen Vorgang sachdienlich sind. Wird für empfohlene Vorgehensweisen verwendet. In empfohlenen Vorgehensweisen wird der Ablauf von Vorgängen zum Erzielen optimaler Ergebnisse ausführlich beschrieben. Hebt Vorgänge hervor, die mit Bedacht durchgeführt werden sollen. + Ein Pluszeichen zwischen zwei Tasten bedeutet, dass beide Tasten gleichzeitig gedrückt werden müssen. Ein senkrechter Strich zwischen zwei Elementen bedeutet, dass diese Elemente in der angegebenen Reihenfolge ausgewählt werden müssen. 5

6 Recovery Manager for Active Directory Forest Edition Über Quest Software, Inc. Quest Software ermöglicht mehr als Kunden weltweit eine einfachere und kostengünstigere IT-Verwaltung. Unsere innovativen Lösungen helfen bei der Behebung komplexer Probleme der IT-Verwaltung und versetzen Kunden in die Lage, bei physischen, virtuellen und cloudgestützten Umgebungen Zeit und Kosten zu sparen. Weitere Informationen zu Quest finden Sie unter Kontakt zu Quest Software Postanschrift Website Quest Software, Inc. World Headquarters 5 Polaris Way Aliso Viejo, CA USA Informationen über unsere lokalen und internationalen Büros finden Sie auf unserer Website. Kontakt zum Quest Support Quest Support ist für Kunden verfügbar, die über eine Evaluierungsversion eines Quest-Produkts verfügen oder eine kommerzielle Version erworben haben und über einen gültigen Wartungsvertrag verfügen. Quest Support steht Ihnen über unsere Service-Website, SupportLink, rund um die Uhr zur Verfügung. Besuchen Sie SupportLink unter Auf der SupportLink-Website haben Sie folgende Möglichkeiten: Schnell Tausende von Lösungen finden (Knowledgebase-Artikel und Dokumente). Patches und Aktualisierungen herunterladen. Die Hilfe eines technisch geschulten Support-Mitarbeiters anfordern. Ihren Fall protokollieren, aktualisieren und seinen Status überprüfen. Eine ausführliche Erläuterung zu den Support-Programmen und zu den Online-Diensten sowie Kontaktinformationen und Angaben zu Richtlinien und Verfahren finden Sie im Global Support Guide. Das Dokument ist verfügbar unter: Support Guide.pdf. Hinweis: Dieses Dokument ist nur auf Englisch verfügbar. 6

7 Bereitstellungshandbuch Einleitung Dieses Handbuch enthält Informationen über die Bereitstellung von Quest Recovery Manager for Active Directory Forest Edition einschließlich der Installation und Konfiguration der Anwendungskomponenten. Es enthält außerdem einige empfohlene Vorgehensweisen für die Verwendung von Quest Recovery Manager Forest Edition, um eine Active Directory-Gesamtstruktur wiederherzustellen, wenn ein gesamtstrukturweiter Fehler die normale Funktionsweise aller Domänencontroller in der Gesamtstruktur verhindert. Mit Quest Recovery Manager Forest Edition können durch Beschädigungen oder fehlerhafte Änderungen der Active Directory-Gesamtstruktur und -Daten bedingte Ausfallzeiten minimiert werden. Dieses Handbuch geht davon aus, dass der für die Bereitstellung der Anwendung verantwortliche Fachmann (ein Active Directory-Administrator) die zugrunde liegenden Active Directory-Konzepte kennt und sich der Bedeutung der Vorgangs-Masterfunktionen (auch bekannt als Flexible Single Master Operation oder FSMO) wie etwa Schema-Master, Domänennamen-Master, RID-Master, PDC-Emulator und Infrastruktur-Master bewusst ist. Darüber hinaus muss der Active Directory-Administrator wissen, wie Active Directory mit Quest Recovery Manager for Active Directory gesichert und wiederhergestellt wird, und er muss diese Verfahren regelmäßig in einer Testumgebung durchgeführt haben. 7

8 Recovery Manager for Active Directory Forest Edition Über Recovery Manager for Active Directory Forest Edition Recovery Manager Forest Edition dient zur Wiederherstellung der Active Directory-Gesamtstruktur oder bestimmter Domänen in der Gesamtstruktur. Mit Recovery Manager Forest Edition können durch Beschädigungen oder fehlerhafte Änderungen der Active Directory-Gesamtstruktur und -Daten bedingte Ausfallzeiten minimiert werden. Recovery Manager Forest Edition vereinfacht und automatisiert den Prozess der Active Directory-Gesamtstruktur- oder Domänenwiederherstellung. Mit Recovery Manager Forest Edition werden die mit der Wiederherstellung verbundenen manuellen Aufgaben automatisiert, beschädigte Domänencontroller per Fernzugriff in Quarantäne gestellt und Domänencontroller wiederhergestellt, damit der Geschäftsbetrieb schnell wieder aufgenommen werden kann. Recovery Manager for Active Directory Forest Edition basiert auf zum Patent angemeldeter Technologie. 8

9 Bereitstellungshandbuch Erforderliche Berechtigungen für die Installation und Verwendung von Recovery Manager Die folgende Tabelle enthält die Mindestberechtigungen für ein Benutzerkonto, die zum Ausführen einiger häufig verwendeter Aufgaben mit Recovery Manager erforderlich sind. AUFGABE Recovery Manager installieren Recovery Manager-Konsole öffnen und verwenden Klonassistent starten und verwenden Virtuellen Snapshot erstellen Hinweis: Diese Funktion ist nur in Recovery Manager for Active Directory Forest Edition verfügbar. Sicherungsagenten manuell vorinstallieren MINDESTBERECHTIGUNGEN Das Konto muss ein Mitglied der lokalen Administratorengruppe auf dem Computer sein, auf dem Sie Recovery Manager installieren möchten. Wenn Sie während der Installation eine vorhandene SQL Server-Instanz angeben, muss das Konto, mit dem Recovery Manager eine Verbindung zu dieser Instanz herstellt, über die folgenden Berechtigungen für diese Instanz verfügen: Datenbank erstellen Tabelle erstellen Verfahren erstellen Funktion erstellen Das Konto muss ein Mitglied der lokalen Administratorengruppe auf dem Computer sein, auf dem die Recovery Manager-Konsole installiert ist. Das Konto muss außerdem über die folgenden Berechtigungen für die von Recovery Manager verwendete SQL-Server-Instanz verfügen: Einfügen Löschen Aktualisieren Auswählen Ausführen Das Konto muss ein Mitglied der lokalen Administratorengruppe auf dem Computer sein, auf dem der Klonassistent installiert ist. So erstellen Sie einen virtuellen Snapshot eines Computers, auf dem die Benutzerkontensteuerung nicht installiert bzw. deaktiviert ist: Das Konto, das Sie für den Zugriff auf den Zielcomputer verwenden, muss ein Mitglied der lokalen Administratorengruppe auf diesem Computer sein. So erstellen Sie einen virtuellen Snapshot eines Computers, auf dem die Benutzerkontensteuerung aktiviert ist: Das Konto, das Sie für den Zugriff auf den Zielcomputer verwenden, muss das integrierte Administratorkonto auf diesem Computer sein. Das Konto, das Sie für den Zugriff auf den Zielcomputer verwenden, muss ein Mitglied der lokalen Administratorengruppe auf diesem Computer sein. Sicherungsagenten aktualisieren Vorinstallierte Instanzen des Sicherungsagenten ermitteln Sicherungsagenten deinstallieren Aktualisieren Sie die in der Recovery Manager-Konsole angezeigten Informationen über den Sicherungsagenten Das für den Zugriff auf die Zieldomänencontroller verwendete Konto muss folgende Voraussetzungen erfüllen: Es muss über Schreibberechtigungen für den folgenden Ordner verfügen: %AllUsersProfile%\Application Data\Quest Software\RMAD. Dieser Ordner befindet sich auf dem Recovery Manager-Computer. Es muss auf jedem Zieldomänencontroller ein Mitglied der Sicherungsoperatorengruppe sein. 9

10 Recovery Manager for Active Directory Forest Edition AUFGABE Installieren Sie den Sicherungsagenten automatisch und sichern Sie die Active Directory-Daten Active Directory mit dem vorinstallierten Sicherungsagenten sichern Vollständige Offline-Wiederherstellung von Active Directory durchführen Selektive Online-Wiederherstellung von Active Directory-Objekten durchführen Recovery Manager-Konfiguration anzeigen Sicherungsagenten automatisch installieren und eine AD LDS (ADAM)-Instanz sichern MINDESTBERECHTIGUNGEN Zur automatischen Installation des Sicherungsagenten muss das Konto folgende Voraussetzungen erfüllen: Es muss über die Schreibberechtigung für den folgenden Ordner verfügen: %AllUsersProfile%\Application Data\Quest Software\RMAD. Dieser Ordner befindet sich auf dem Recovery Manager-Computer. Administratorberechtigungen auf dem Zieldomänencontroller. Um Daten sichern zu können, muss das Konto ein Mitglied der Sicherungsoperatorengruppe auf jedem Zieldomänencontroller sein. Das für den Zugriff auf die Zieldomänencontroller verwendete Konto muss folgende Voraussetzungen erfüllen: Es muss über Schreibberechtigungen für den folgenden Ordner verfügen: %AllUsersProfile%\Application Data\Quest Software\RMAD. Dieser Ordner befindet sich auf dem Recovery Manager-Computer. Es muss ein Mitglied der Sicherungsoperatorengruppe auf jedem zu sichernden Domänencontroller sein. Das für den Zugriff auf die Zieldomänencontroller verwendete Konto muss folgende Voraussetzungen erfüllen: Es muss über Schreibberechtigungen für den folgenden Ordner verfügen: %AllUsersProfile%\Application Data\Quest Software\RMAD. Dieser Ordner befindet sich auf dem Recovery Manager-Computer. Es muss ein Mitglied der lokalen Administratoren- und Domänenadministratorengruppen auf jedem zu sichernden Domänencontroller sein. Das für den Zugriff auf die Zieldomänencontroller verwendete Konto muss folgende Voraussetzungen erfüllen: Es muss über die Schreibberechtigung für den folgenden Ordner verfügen: %AllUsersProfile%\Application Data\Quest Software\RMAD. Dieser Ordner befindet sich auf dem Recovery Manager-Computer. Es muss über das erweiterte Zugriffsrecht Tombstones wiederbeleben in der Domäne, in der die Objekte wiederhergestellt werden sollen, verfügen. Es muss über die Schreibberechtigung für jedes Objektattribut, das bei der Wiederherstellung aktualisiert werden soll, verfügen. Es muss über die Berechtigung Alle untergeordneten Objekte erstellen im Zielcontainer verfügen. Es muss über die Berechtigung zum Auflisten von Inhalten für den Container Gelöschte Objekte in der Domäne verfügen, in der die Objekte wiederhergestellt werden sollen. Weitere Informationen darüber, wie einem anderen Konto als einem Administratorkonto die Berechtigung zum Auflisten von Inhalten zugewiesen wird, finden Sie im Microsoft Knowledge Base-Artikel , How to let non-administrators view the Active Directory deleted objects container in Windows Server 2003 and in Windows 2000 Server, unter Das Konto muss über die Schreibberechtigung für den folgenden Ordner verfügen: %AllUsersProfile%\Application Data\Quest Software\RMAD. Dieser Ordner befindet sich auf dem Recovery Manager-Computer. Das für den Zugriff auf den Hostcomputer der Instanz verwendete Konto muss folgende Voraussetzungen erfüllen: Es muss über Schreibberechtigungen für den folgenden Ordner verfügen: %AllUsersProfile%\Application Data\Quest Software\RMAD. Dieser Ordner befindet sich auf dem Recovery Manager-Computer. Es muss ein Mitglied der lokalen Administratorengruppe auf dem Hostcomputer der AD LDS (ADAM)-Instanz sein. 10

11 Bereitstellungshandbuch AUFGABE AD LDS (ADAM)-Instanz mit dem vorinstallierten Sicherungsagenten sichern AD LDS (ADAM)-Instanz wiederherstellen MINDESTBERECHTIGUNGEN Das für den Zugriff auf den Hostcomputer der Instanz verwendete Konto muss folgende Voraussetzungen erfüllen: Es muss über Schreibberechtigungen für den folgenden Ordner verfügen: %AllUsersProfile%\Application Data\Quest Software\RMAD. Dieser Ordner befindet sich auf dem Recovery Manager-Computer. Es muss ein Mitglied der lokalen Administratorengruppe auf dem Hostcomputer der AD LDS (ADAM)-Instanz sein. Das für den Zugriff auf den Hostcomputer der Instanz verwendete Konto muss folgende Voraussetzungen erfüllen: Es muss über Schreibberechtigungen für den folgenden Ordner verfügen: %AllUsersProfile%\Application Data\Quest Software\RMAD. Dieser Ordner befindet sich auf dem Recovery Manager-Computer. Es muss ein Mitglied der lokalen Administratorengruppe auf dem Hostcomputer der AD LDS (ADAM)-Instanz sein. 11

12 Recovery Manager for Active Directory Forest Edition Installieren von Recovery Manager Dieser Abschnitt enthält Informationen über die Installation und Konfiguration der Anwendungskomponenten (Forest Recovery-Konsole und Forest Recovery-Agent). In der folgenden Abbildung wird die Bereitstellung von Recovery Manager Forest Edition dargestellt: Recovery Manager for Active Directoryr Forest Edition FR-Agent (auf jedem DC) FR-Konsole Gesamtstruktur OPERA.MYCOMPANY.COM MOZILLA.MYCOMPANY.COM OPERA-DC2 MOZILLA-DC1 OPERA-DC1 MOZILLA-DC2 Anwendungsserver Recovery Manager for Active Directory Forest Edition gewährleistet eine intuitive Bedienbarkeit und eine enge Integration in das Windows-Betriebssystem. Verwenden des Installationsassistenten So installieren Sie Recovery Manager Forest Edition mit Hilfe des Installationsassistenten: 1. Führen Sie die Datei Autorun.exe aus, die sich im Stammordner der Recovery Manager-Installations-CD befindet. 2. Klicken Sie im Fenster Autorun auf Installation, und klicken Sie dann auf Recovery Manager for Active Directory Forest Edition. 3. Befolgen Sie die Anweisungen des Installationsassistenten. 4. Klicken Sie auf der Seite User Information (Benutzerinformationen) auf Licenses (Lizenzen). Klicken Sie im Dialogfeld License Status (Lizenzstatus) auf Browse License (Lizenz durchsuchen), um die gewünschte Lizenzschlüsseldatei zu suchen und zu öffnen. 5. Befolgen Sie die Anweisungen des Assistenten, um die Installation abzuschließen. 12

13 Bereitstellungshandbuch Durchführen einer automatischen Installation Eine automatische (oder unbeaufsichtigte) Installation von Recovery Manager Forest Edition erfordert kein Eingreifen seitens des Benutzers. Bei dieser Methode geben Sie die Recovery Manager Forest Edition-Installationsparameter an der Eingabeaufforderung an, bevor Sie die eigentliche Installation durchführen. Sie können die automatische Installation von Recovery Manager nur durchführen, wenn die folgenden Bedingungen erfüllt sind: Eine der genannten Microsoft SQL Server-Versionen im Bereich Systemvoraussetzungen in den Versionshinweisen ist auf dem Computer, auf dem Recovery Manager installiert werden soll, verfügbar. Eine der genannten Microsoft SQL Server Reporting Services-Versionen im Bereich Systemvoraussetzungen in den Versionshinweisen ist auf dem Computer, auf dem Recovery Manager installiert werden soll, verfügbar. ODER Quest Reports Viewer ist auf dem Computer, auf dem Recovery Manager installiert werden soll, installiert und verfügbar. So führen Sie eine automatische Installation von Recovery Manager Forest Edition durch: Geben Sie folgenden Befehl in der Befehlszeile ein: Msiexec /i "<Pfad zur Recovery Manager Forest Edition-Installations-CD> \Setup\Rmadfe.msi" /qb SQLSERVER="<SQL-Servername>\<Instanzname>" In der Tabelle unten sind die Parameter beschrieben, die Sie für die Durchführung einer automatischen Installation von Recovery Manager Forest Edition verwenden können. PARAMETER BESCHREIBUNG BEISPIEL SQLSERVER SQLDBNAME_REPORTING Gibt den Namen und die Instanz eines lokalen oder dezentralen SQL-Servers für die Speicherung der Recovery Manager Forest Edition-Daten an. Dies ist ein erforderlicher Parameter. Gibt eine vorhandene oder neue Datenbank für die Speicherung von Recovery Manager Forest Edition-Berichtsdaten an. Diese Datenbank befindet sich in der SQL Server-Instanz, die im Parameter SQLSERVER definiert ist. Wenn Sie eine Datenbank angeben, die nicht vorhanden ist, wird sie erstellt. Wenn Sie keinen Wert für den Parameter SQLDBNAME_REPORTING angeben, wird eine neue Datenbank mit dem folgenden Namen erstellt und verwendet: RecoveryManager-Reporting- <Name des Recovery Manager-Computers> Msiexec /i E:\Setup\Rmadfe.msi" /qb SQLSERVER="<SQL-Servername>\ <Instanzname>" Msiexec /i E:\Setup\Rmadfe.msi" /qb SQLSERVER="<SQL-Servername>\ <Instanzname>" SQLDBNAME_REPORTING= "<Datenbankname>" 13

14 Recovery Manager for Active Directory Forest Edition PARAMETER BESCHREIBUNG BEISPIEL INSTALLDIR BACKUP_PATH SQLAUTHENTICATION SQLUSERNAME SQLUSERPASSWORD Gibt das Recovery Manager Forest Edition-Installationsverzeichnis an. Wenn Sie diesen Parameter nicht angeben, wird das folgende Standardverzeichnis verwendet: %Programme%\Quest Software\Recovery Manager for Active Directory Forest Edition Gibt den Speicherort an, an dem Recovery Manager Forest Edition Active Directory-Sicherungen speichert. Wenn kein Wert für diesen Parameter angegeben wird, werden die Sicherungen unter %Allusersprofile%\ Application Data\Quest Software\RMAD\Backups gespeichert. Gibt die SQL Server-Authentifizierungsmethode an. Sie können einen der folgenden Werte verwenden: 0. Gibt an, dass die Windows-Anmeldeinformation en des aktuellen Benutzerkontos zur Authentifizierung verwendet werden sollen. 1. Gibt an, dass die in den Parametern SQLUSERNAME und SQLUSERPASSWORD festgelegten Anmeldeinformationen zur Authentifizierung verwendet werden sollen. Wenn kein Wert für diesen Parameter angegeben wird, werden die Windows-Anmeldeinformationen des aktuellen Benutzerkontos verwendet. Gibt den Benutzernamen für die Authentifizierung beim SQL-Server an. Dieser Parameter ist erforderlich, wenn Sie für den Parameter SQLAUTHENTICATION den Wert 1 festlegen. Gibt das Kennwort für die Authentifizierung beim SQL-Server an. Dieser Parameter ist erforderlich, wenn Sie für den Parameter SQLAUTHENTICATION den Wert 1 festlegen. Msiexec /i E:\Setup\Rmadfe.msi" /qb SQLSERVER="<SQL-Servername>\ <Instanzname>" INSTALLDIR="<Pfad zum Installationsverzeichnis>" Msiexec /i E:\Setup\Rmadfe.msi" /qb SQLSERVER="<SQL-Servername>\ <Instanzname>" BACKUP_PATH="<Pfad zur Speicherung von AD-Sicherungen>" Msiexec /i E:\Setup\Rmadfe.msi" /qb SQLSERVER="<SQL-Servername>\ <Instanzname>" SQLAUTHENTICATION="0" Msiexec /i E:\Setup\Rmadfe.msi" /qb SQLSERVER="<SQL-Servername>\ <Instanzname>" SQLAUTHENTICATION="1" SQLUSERNAME="<Benutzername>" SQLUSERPASSWORD="<Kennwort>" 14

15 Bereitstellungshandbuch PARAMETER BESCHREIBUNG BEISPIEL VIEWER_APPLICATION_TYPE VIEWER_REPORTING_SERVER Gibt die Anwendung für die Anzeige von Recovery Manager Forest Edition-Berichten an. Sie können einen der folgenden Werte verwenden: local. Gibt an, dass der auf dem Recovery Manager Forest Edition-Computer installierte Quest Reports Viewer verwendet werden soll. remote. Gibt an, dass die auf einem Remotecomputer installierten Microsoft SQL Server Reporting Services verwendet werden sollen. Gibt die HTTP-Adresse für den Zugriff auf Microsoft SQL Server Reporting Services an. Dieser Parameter ist erforderlich, wenn Sie für den Parameter VIEWER_APPLICATION_TYPE den Wert remote festgelegt haben. Msiexec /i E:\Setup\Rmadfe.msi" /qb SQLSERVER="<SQL-Servername>\ <Instanzname>" VIEWER_APPLICATION_TYPE="<Wert>" Msiexec /i E:\Setup\Rmadfe.msi" /qb SQLSERVER="<SQL-Servername>\ <Instanzname>" VIEWER_APPLICATION_TYPE="remote" VIEWER_REPORTING_SERVER= " Stellen Sie bei der Angabe des als Standard-Speicherort für Sicherungsdateien (.bkf) verwendeten Ordners sicher, dass das Laufwerk, auf dem sich der angegebene Standardordner für die Sicherungsspeicherung befindet, über ausreichend freien Speicherplatz verfügt. Die Sicherungsdateien können eine Größe von mehreren hundert Megabyte erreichen. Installieren des Forest Recovery-Agenten Recovery Manager for Active Directory Forest Edition greift auf den Forest Recovery-Agenten zurück, um Active Directory auf den wiederherzustellenden Zieldomänencontrollern wiederherzustellen. Daher muss der Forest Recovery-Agent auf jedem Domänencontroller in der wiederherzustellenden Gesamtstruktur installiert sein. Wenn der Forest Recovery-Agent nicht auf einem Zieldomänencontroller installiert wurde, bevor ein Notfall eintritt, kann die Anwendung diesen Domänencontroller möglicherweise nicht wiederherstellen. Anweisungen zur Installation des Forest Recovery-Agenten auf einem Zieldomänencontroller finden Sie im Benutzerhandbuch, das im Lieferumfang dieser Version von Recovery Manager for Active Directory Forest Edition enthalten ist. Planen der Active Directory-Gesamtstrukturwiederherstellung Dieser Abschnitt enthält grundlegende Informationen zu empfohlenen Vorgehensweisen bei der Planung der Wiederherstellung einer Active Directory-Gesamtstruktur. Ausführliche Anweisungen zur Wiederherstellung der gesamten Active Directory-Gesamtstruktur oder ausgewählter Domänen in der Gesamtstruktur finden Sie im Recovery Manager Forest Edition Benutzerhandbuch, das im Lieferumfang dieser Version enthalten ist. 15

16 Recovery Manager for Active Directory Forest Edition Entwickeln eines benutzerdefinierten Gesamtstruktur-Wiederherstellungsplans Bei der Planung einer Active Directory-Gesamtstrukturwiederherstellung sollten Sie zunächst eine detaillierte Topologiekarte Ihrer Gesamtstrukturen erstellen. Die Karte sollte alle Informationen über die Domänencontroller enthalten, z. B. ihre Namen, den Sicherungsstatus und die Vertrauensstellungen zwischen den Domänencontrollern. Um eine Gesamtstrukturwiederherstellung durchführen zu können, ist ein Administratorkontokennwort für jede Domäne in der Gesamtstruktur erforderlich. Es empfiehlt sich, den Verlauf der Administratorkontokennwörter zu archivieren und das Archiv an einem sicheren Ort zu speichern. Vor der Wiederherstellung auszuführende Schritte Da die Wiederherstellung einer Gesamtstruktur ein äußerst komplexer und kritischer Vorgang ist, wird empfohlen, dass der Active Directory-Administrator die folgenden Regeln einhält, um einen Ausfall der Gesamtstruktur zu verhindern: Verwenden Sie nur zuverlässige und fehlerfreie Hardware (Festplatten, unterbrechungsfreie Stromversorgung usw.). Testen Sie jede neue Konfiguration zunächst in einer Testumgebung, bevor Sie sie in der Produktionsumgebung umsetzen. Stellen Sie sicher, dass jede Domäne in der Gesamtstruktur über mindestens zwei Domänencontroller verfügt. Lassen Sie ausführliche tägliche Protokolle über den aktuellen Zustand von Active Directory erstellen, damit bei einem Ausfall der gesamten Struktur der ungefähre Zeitpunkt des Ausfalls ermittelt werden kann. Sichern Sie regelmäßig alle Domänencontroller in der Gesamtstruktur mit Hilfe von Quest Recovery Manager. Installieren Sie den Forest Recovery-Agenten auf allen Domänencontrollern in der Gesamtstruktur. Erstellen Sie mit Hilfe der Forest Recovery-Konsole ein Wiederherstellungsprojekt für Ihre Gesamtstruktur. Testen Sie das Gesamtstruktur-Wiederherstellungsprojekt regelmäßig und insbesondere dann, wenn sich die Mitglieder der Unternehmensadministratorengruppe oder Domänenadministratorengruppe ändern. Dadurch wird gewährleistet, dass das IT-Personal den Gesamtstruktur-Wiederherstellungsplan in vollem Umfang versteht. Es empfiehlt sich, eine Computersammlung zu erstellen, die alle Domänencontroller in der Gesamtstruktur umfasst, und diese Sammlung jedes Mal, wenn Sie Änderungen an der Infrastruktur der Gesamtstruktur vornehmen, zu sichern. Um zu gewährleisten, dass Forest Recovery Agent auf allen Domänencontrollern installiert ist, öffnen Sie die Recovery Manager-Konsole (MMC-Snap-In), und führen Sie die folgenden Schritte durch: 1. Erweitern Sie in der Konsolenstruktur den Knoten Computer Collections (Computersammlungen), und wählen Sie dann die Computersammlung aus, die alle Domänencontroller in der Gesamtstruktur enthält. 2. Klicken Sie im Menü Action (Aktion) auf Properties (Eigenschaften), und klicken Sie dann auf die Registerkarte Agent Settings (Agenteneinstellungen). 3. Aktivieren Sie auf der Registerkarte Agent Settings (Agenteneinstellungen) das Kontrollkästchen Ensure Forest Recovery agent is deployed (Sicherstellen, dass der Forest Recovery-Agent bereitgestellt wird). Klicken Sie abschließend auf OK. 16

17 Bereitstellungshandbuch Erstellen eines Gesamtstruktur-Wiederherstellungsprojekts Das Wiederherstellungsprojekt ist der Bereich, in dem Sie die Wiederherstellung aller wiederherzustellenden Domänencontroller in der Gesamtstruktur verwalten. Das Projekt umfasst auch die Liste der Domänencontroller und die von Ihnen konfigurierten Einstellungen, z. B. die Wiederherstellungsmethode für die einzelnen Domänencontroller und die Anmeldeinformationen, die die Anwendung für den Zugriff auf den Domänencontroller verwendet. Die Projektdatei (FRPROJ-Datei) enthält Informationen über den Inhalt und die Eigenschaften des Projekts. Um ein Wiederherstellungsprojekt zu erstellen, öffnen Sie die Forest Recovery-Konsole, und führen Sie die folgenden Schritte durch: 1. Klicken Sie in der Menüleiste auf File (Datei), und dann auf New Project (Neues Projekt). Befolgen Sie die Anweisungen des Assistenten. 2. Geben Sie auf der Seite Retrieving the Forest Infrastructure (Abfragen der Gesamtstruktur-Infrastruktur) an, wie die Verbindung zu der wiederherzustellenden Gesamtstruktur hergestellt werden soll. 3. Befolgen Sie die Anweisungen, um den Assistenten abzuschließen. 4. Klicken Sie im Menü File (Datei) auf Save Project (Projekt speichern), und füllen Sie dann das Dialogfeld Save Forest Recovery Project (Forest Recovery-Projekt speichern) aus. Alle Wiederherstellungsprojekte müssen durch ein Kennwort geschützt werden. Nachdem Sie den Projektnamen im Dialogfeld Save Forest Recovery Project (Forest Recovery-Projekt speichern) angegeben haben, wird das Dialogfeld Set the Project Password (Projektkennwort festlegen) geöffnet, in dem Sie das Kennwort zum Schutz des Projekts eingeben können. Testen des Gesamtstruktur-Wiederherstellungsprojekts Um zu gewährleisten, dass Sie die Gesamtstruktur mit minimaler Ausfallzeit wiederherstellen können, wird empfohlen, dass Sie das Gesamtstruktur-Wiederherstellungsprojekt regelmäßig mit Hilfe der Testmodusfunktion von Recovery Manager Forest Edition testen. Wenn Sie das Gesamtstruktur-Wiederherstellungsprojekt testen, fragt Recovery Manager Forest Edition die wiederherzustellenden Domänencontroller und den auf diesen Domänencontrollern installierten Forest Recovery-Agenten ab. Die Anwendung überprüft, ob der Forest Recovery-Agent installiert ist und ausgeführt wird. Die Anwendung gewährleistet außerdem, dass der Forest Recovery-Agent mit den angegebenen Anmeldeinformationen auf die Domänencontroller und Sicherungsdateien zugreifen kann. Die Ergebnisse dieser Abfragen werden dem Active Directory-Administrator gemeldet. Die Verwendung des Testmodus erleichtert die Gesamtstrukturwiederherstellung und Fehlerbehebung, da er die Erkennung möglicher Probleme erlaubt. So testen Sie das Wiederherstellungsprojekt: 1. Erstellen oder öffnen Sie ein Wiederherstellungsprojekt. 2. Klicken Sie in der Menüleiste auf Test. 3. Um einen Bericht über die Testergebnisse anzuzeigen, klicken Sie in der Menüleiste auf View Report (Bericht anzeigen). 17

18 Recovery Manager for Active Directory Forest Edition Wiederherstellen einer Active Directory-Gesamtstruktur Dieser Abschnitt enthält grundlegende Informationen zu empfohlenen Vorgehensweisen bei der Wiederherstellung einer Active Directory-Gesamtstruktur. Ausführliche Anweisungen zur Wiederherstellung der gesamten Active Directory-Gesamtstruktur oder ausgewählter Domänen in der Gesamtstruktur finden Sie im Recovery Manager Forest Edition Benutzerhandbuch, das im Lieferumfang dieser Version enthalten ist. Entscheiden, wann eine Gesamtstrukturwiederherstellung durchgeführt werden soll Im Microsoft-Dokument Planning for Active Directory Forest Recovery ( doc) heißt es: Im Allgemeinen ist eine Gesamtstrukturwiederherstellung notwendig, wenn keiner der Domänencontroller in der Gesamtstruktur normal ausgeführt werden kann oder wenn die beschädigten Domänencontroller gefährliche Daten auf neue Domänencontroller ausbreiten können. Nachfolgend sind einige Beispiele für gesamtstrukturweite Ausfälle aufgeführt: Die Replikationsfunktion in der Gesamtstruktur funktioniert nicht ordnungsgemäß. Die von Ihnen an Active Directory vorgenommenen Änderungen werden nicht gespeichert. Sie können zu keiner Domäne neue Domänencontroller hinzufügen. Alle Business-Anwendungen, die von Active Directory abhängig sind, funktionieren nicht. Ein verärgerter Mitarbeiter mit Administratorrechten hat das Active Directory-Schema beschädigt. Ein Mitarbeiter mit Administratorrechten hat versehentlich ein Skript ausgeführt, durch das Daten in der Active Directory-Gesamtstruktur beschädigt werden. Das Active Directory-Schema wurde absichtlich oder unabsichtlich um bösartige oder Konflikte verursachende Änderungen erweitert. Wenn Symptome einer gesamtstrukturweiten Störung etwa in Ereignisprotokollen oder anderen Überwachungslösungen auftreten, stellen Sie in Zusammenarbeit mit dem Microsoft-Kundensupport (CSC) die Ursache für die Störung fest, und evaluieren Sie alle möglichen Maßnahmen zur Behebung des Problems. Da die Wiederherstellung einer Gesamtstruktur ein äußerst komplexer und kritischer Vorgang ist, sollte die Active Directory-Gesamtstrukturwiederherstellung die letzte Option sein. Wenden Sie sich an den Microsoft-Kundensupport, bevor Sie eine endgültige Entscheidung treffen. Auswählen der zu verwendenden Sicherungen Laut dem Microsoft-Dokument Planning for Active Directory Forest Recovery wird dringend empfohlen, dass Sie die Domänencontroller mit Hilfe von Sicherungen wiederherstellen, die einige Tage vor dem Auftreten der Störung erstellt wurden. Im Allgemeinen müssen Sie zwischen Aktualität und Sicherheit der wiederhergestellten Daten abwägen. Bei Auswahl einer neueren Sicherung werden mehr nützliche Daten wiederhergestellt, aber dadurch wird auch das Risiko erhöht, gefährliche Daten erneut in die wiederhergestellte Gesamtstruktur einzuschleusen. 18

19 Bereitstellungshandbuch Wenn der Zeitpunkt des Auftretens der Störung unbekannt ist, führen Sie weitere Untersuchungen durch, um Sicherungen zu ermitteln, die den letzten sicheren Status der Active Directory-Gesamtstruktur enthalten. Diese Vorgehensweise ist weniger wünschenswert. Daher wird dringend empfohlen, ausführliche Protokolle über den aktuellen Zustand von Active Directory zu erstellen, damit bei einem Ausfall der gesamten Struktur der ungefähre Zeitpunkt des Ausfalls ermittelt werden kann. Die Forest Recovery-Konsole enthält einen Sicherungsfilter, mit dem Sie Kriterien für die Sicherungen, aus denen Sie Active Directory wiederherstellen möchten, angeben können. Weitere Informationen über die Verwendung des Sicherungsfilters finden Sie im Recovery Manager Forest Edition Benutzerhandbuch. Auswählen der wiederherzustellenden Domänencontroller Die aktuelle Version von Quest Recovery Manager Forest Edition unterstützt die Wiederherstellung von Domänencontrollern aus Sicherungen, die mit Recovery Manager for Active Directory erstellt wurden. Daher können Sie nur Domänencontroller wiederherstellen, die über eine gute (vertrauenswürdige) Sicherung verfügen. Eine gute Sicherung ist eine Sicherung, die ein paar Tage vor der Störung erstellt wurde und möglichst viele nützliche Daten enthält. Bei der Wiederherstellung der Gesamtstruktur wird jede Domäne in der Gesamtstruktur in dem Zustand wiederhergestellt, den sie zum Zeitpunkt der Erstellung der vertrauenswürdigen Sicherung hatte. Folglich führt der Wiederherstellungsvorgang zum Verlust von mindestens den folgenden Active Directory-Daten: Alle Objekte (wie etwa Benutzer und Computer), die nach der letzten vertrauenswürdigen Sicherung hinzugefügt wurden Alle Aktualisierungen, die seit der letzten vertrauenswürdigen Sicherung an vorhandenen Objekten vorgenommen wurden Alle Änderungen, die entweder an der Konfigurationspartition oder an der Schemapartition in Active Directory vorgenommen wurden (wie etwa Schemaänderungen) 19

20 Recovery Manager for Active Directory Forest Edition Empfohlene Vorgehensweisen für das Bereitstellen der Recovery Manager-Konsole Es wird empfohlen, die Recovery Manager-Konsole auf einem Mitgliedsserver und nicht auf einem Domänencontroller zu installieren. Bei Installation auf einem Domänencontroller belegt die Recovery Manager-Konsole dessen Ressourcen und kann die Leistung des Domänencontrollers beeinträchtigen. Um eine selektive Online-Wiederherstellung von Active Directory-Daten auszuführen, genügt es, eine Instanz der Recovery Manager-Konsole in der Active Directory-Gesamtstruktur bereitzustellen. Um eine vollständige Offline-Wiederherstellung von Active Directory auszuführen, wird empfohlen, eine Instanz der Recovery Manager-Konsole für jede Active Directory-Site bereitzustellen. 20

21 Bereitstellungshandbuch Empfohlene Vorgehensweisen für die Verwendung von Computersammlungen Mit Hilfe einer Computersammlung können Sie Computer (Domänencontroller oder AD LDS (ADAM)-Hosts), auf die Sie dieselben Sicherungseinstellungen anwenden möchten, in Gruppen zusammenfassen. Weitere Informationen zum Erstellen und Verwalten von Computersammlungen finden Sie im Benutzerhandbuch, das im Lieferumfang dieser Version von Recovery Manager enthalten ist. Es wird empfohlen, Computer derselben Computersammlung hinzuzufügen, wenn Sie eine der folgenden Aktionen ausführen möchten: Sichern der gleichen Systemstatuskomponenten auf allen diesen Computern. Anwenden der gleichen Sicherungsspeicherrichtlinie auf allen diesen Computern. So können Sie mit diesem Verfahren beispielsweise Domänencontrollersicherungen an einem zentralen Speicherort speichern, auf den die Recovery Manager-Konsole über eine schnelle Verbindung zugreifen kann. Bei diesem Szenario müssen Sicherungen nicht über das gesamte Netzwerk kopiert werden, bevor Sie einen Online-Wiederherstellungsvorgang durchführen, und die Wiederherstellung kann zentral verwaltet werden. Einrichten des gleichen Zeitplans für die Sicherungserstellung für alle diese Computer. In der folgenden Abbildung ist ein Beispiel für die Verwendung von Computersammlungen dargestellt: Beispiel für die Verwendung von Computersammlungen Tokio London (Recovery Manager-Konsole) New York Computersammlung 1 (alle DCs) Computersammlung 2 (alle DCs) Computersammlung 3 (alle DCs) Computersammlung 4 (2 DCs vom Standort in London) In diesem Beispiel ist die Recovery Manager-Konsole am Standort London installiert. Die Computersammlungen 1, 2 und 3 umfassen sämtliche Domänencontroller der Standorte Tokio, London und New York. Die Computersammlung 4 umfasst zwei Domänencontroller am Standort London. Die Recovery Manager-Konsole kann über eine schnelle Verbindung auf die Sicherungen dieser beiden Domänencontroller zugreifen. Die Sicherungen können für die selektive Online-Wiederherstellung von Active Directory-Objekten verwendet werden. 21

22 Recovery Manager for Active Directory Forest Edition Empfohlene Vorgehensweisen für das Ausführen von Wiederherstellungen Dieser Abschnitt enthält Empfehlungen zur Ausführung von Wiederherstellungsvorgängen mit Recovery Manager for Active Directory Forest Edition. Unterschiede zwischen agentenbasierten und agentenlosen Methoden der Wiederherstellung Mit Recovery Manager können Sie durch LDAP-Funktionen (agentenlose Methode) oder über den in Recovery Manager for Active Directory Forest Edition enthaltenen Wiederherstellungsagenten (agentenbasierte Methode) auf den Zieldomänencontroller zugreifen. Jede dieser Methoden hat bestimmte Vorteile, Einschränkungen und Voraussetzungen. Agentenlose Methode VORTEILE Durch die Nutzung der LDAP-Funktionen wirkt sich der Assistent weniger stark auf den Domänencontroller aus. Administratorrechte sind nicht erforderlich, um die Wiederherstellungs- und Vergleichsvorgänge ausführen zu können. EINSCHRÄNKUNGEN Zum Wiederherstellen einiger Objektattribute wie z. B. Benutzerkennwort und SID-Verlauf müssen Sie das Active Directory-Schema ändern. Weitere Informationen finden Sie unter Wiederherstellen von Kennwörtern und des SID-Verlaufs im Benutzerhandbuch. Gelöschte Objekte können bei Windows Server 2000-basierten Domänencontrollern nicht durch LDAP-Funktionen wiederhergestellt werden. Erforderliche Berechtigungen für die agentenlose Methode Das Konto, mit dem Recovery Manager for Active Directory Forest Edition auf den Zieldomänencontroller zugreift, benötigt bestimmte Berechtigungen, damit Datenwiederherstellungsaufgaben ausgeführt werden können. AUFGABE Objektattribute wiederherstellen Gelöschtes Objekt wiederherstellen Domänenübergreifende Gruppenmitgliedschaften wiederherstellen ERFORDERLICHE BERECHTIGUNGEN Schreibzugriff auf die Attribute, die wiedergestellt werden sollen Steuerungszugriffsrecht Tombstone wiederbeleben. Schreibzugriff auf jedes Attribut, das während der Wiederherstellung aktualisiert werden soll Erstellungsrechte für untergeordnete Objekte im Zielcontainer für die Klasse des Objekts, das wiederhergestellt werden soll Schreibzugriff auf universelle Gruppen und lokale Gruppen der Domäne in anderen Domänen 22

23 Bereitstellungshandbuch Agentenbasierte Methode VORTEILE Bei dieser Methode können Sie sämtliche Objekte (auch gelöschte Objekte) und Attribute (auch Benutzerkennwort und SID-Verlauf) vergleichen und wiederherstellen. Ein Wiederherstellungsvorgang kann auf einem Domänencontroller durchgeführt werden, auf dem eine beliebige, von Produktname unterstützte Version eines Windows-Betriebssystems ausgeführt wird. Die agentenbasierte Wiederherstellungsmethode ist normalerweise schneller als die agentenlose Methode. EINSCHRÄNKUNGEN Der Zieldomänencontroller muss identisch mit der Sicherungsquelle sein. Das Benutzerkonto, mit dem Sie auf den Zieldomänencontroller zugreifen, muss über Administratorrechte für die Domäne verfügen und ein Mitglied der Sicherungsoperatorengruppe sein, wenn auf dem Zieldomänencontroller Windows Server 2003 ausgeführt wird. Produktname installiert automatisch den Wiederherstellungsagenten (die Datei RstAgent.exe ) vor dem Start einer Wiederherstellung und entfernt ihn nach Abschluss des Vorgangs wieder automatisch. Die Größe der Datei RstAgent.exe beträgt etwa Byte. Erforderliche Berechtigungen für die agentenbasierte Methode Das Konto, mit dem Recovery Manager for Active Directory Forest Edition auf den Zieldomänencontroller zugreift, muss über folgende Berechtigungen verfügen: Es muss über ausreichende Berechtigungen zum Kopieren von Dateien auf den Zieldomänencontroller verfügen. Es muss Access Service Control Manager auf dem Zieldomänencontroller sein. Es muss über Schreibzugriff auf universelle Gruppen und lokale Domänengruppen in anderen Domänen verfügen (nur zum Wiederherstellen von domänenübergreifenden Gruppenmitgliedschaften). Damit die oben genannten Voraussetzungen erfüllt sind, muss das Konto Mitglied einer der folgenden Gruppen sein: Lokale Administratorengruppe auf den einzelnen Zieldomänencontrollern Sicherungsoperatorengruppe oder Domänenadministratorengruppe auf jedem Zieldomänencontroller mit Windows Server 2003 oder einer späteren Version von Windows 23

24 Recovery Manager for Active Directory Forest Edition Wiederherstellen von Kennwörtern und des SID-Verlaufs Wenn das Löschen eines Objekts mit Hilfe der agentenlosen Wiederherstellungsmethode rückgängig gemacht wird, verwendet der Online-Wiederherstellungsassistent die LDAP-Funktionen sowie die vom Windows-Betriebssystem bereitgestellte Funktion Wiederherstellung gelöschter Objekte. Diese Funktion stellt nur die Attribute wieder her, die im Tombstone eines Objekts gespeichert wurden. Die anderen Attribute werden aus einer Sicherung wiederhergestellt. Einige Objektattribute wie das Benutzerkennwort und der SID-Verlauf können jedoch nicht mit LDAP-Funktionen geschrieben und daher auch nicht mit der agentenlosen Methode aus einer Sicherung wiederhergestellt werden. Oft ist es kein großes Problem, wenn das Kennwort-Attribut nicht aus einer Sicherung wiederhergestellt werden kann, da das Objektkennwort nach der Wiederherstellung des Objekts zurückgesetzt werden kann. Die Wiederherstellung des Attributs SID-Verlauf kann jedoch unternehmenskritisch sein. Als Beispiel sei hier eine Situation aufgeführt, in der die Domäne, aus der das Objekt migriert wurde, nicht verfügbar oder außer Betrieb ist und somit der SID-Verlauf nicht wieder hinzugefügt werden kann. Damit diese beiden Attribute mit der agentenlosen Methode wiederhergestellt werden können, kann das Active Directory-Schema so geändert werden, dass diese Attribute in Objekt-Tombstones erhalten bleiben. Entsprechend verfügt ein Objekt, dessen Löschung rückgängig gemacht wurde, über das gleiche Kennwort und den gleichen SID-Verlauf wie vor der Löschung. Da für diese Lösung Schemaänderungen erforderlich sind, sollte sie sorgfältig abgewogen werden. Microsoft empfiehlt die Änderung oder Erweiterung des Schemas nur in Ausnahmefällen. Gehen Sie daher mit höchster Vorsicht vor, denn ein Fehler kann den Verzeichnisdienst destabilisieren und eine Neuinstallation erforderlich machen. Häufig nehmen Organisationen nur ungern Änderungen am Schema vor, weil Schemaänderungen zu einem hohen Replikationsdatenverkehr führen können. Dies gilt nicht für die in diesem Artikel beschriebenen Schemaänderungen, weil sie nicht den partiellen Attributsatz (PAS) betreffen. Recovery Manager bietet außerdem eine agentenbasierte Methode für die Wiederherstellung oder das Rückgängig machen des Löschvorgangs von Objekten. Bei der agentenbasierten Methode können alle Attribute wiederhergestellt werden. Die agentenbasierte Methode erfordert keine Schemaänderungen. Beibehalten der Kennwörter und des SID-Verlaufs in Objekt-Tombstones Schritt 1: Sicherstellen, dass die Voraussetzungen erfüllt sind Sie sind als ein Mitglied der Unternehmensadministratorengruppe angemeldet. Schreibvorgänge am Schema sind zulässig. Weitere Informationen darüber, wie Schreibvorgänge am Schema zugelassen werden, finden Sie im Microsoft Knowledge Base-Artikel Registry Modification Required to Allow Write Operations to Schema unter 24