Наскільки безпечні оновлення схеми Windows Active Directory?

Я намагаюсь краще зрозуміти, як Active Directory обробляє оновлення схеми, зокрема, наскільки безпечною є процедура, наскільки насправді критичний AD, та враховуючи коло ситуацій, коли необхідні оновлення. Наприклад, Exchange 2007, OCS, SCOM вимагають змін схеми, це не просто те, що відбувається, коли ви розглядаєте важливий перехід від (скажімо) Windows 2003 до інфраструктури Windows 2008.

Я шукаю поради щодо найкращого плану резервного копіювання змін схеми, на всякий випадок, якщо він насправді піде не так. Чи допустимо, наприклад, під час оновлення взяти один DC в режимі офлайн, і використовувати його для відкатки всього середовища, якщо оновлення схеми не вдалося? Чи є проблеми з повторним включенням постійного струму, який був офлайн під час оновлення схеми?

Оновлення схем - це одностороння функція. Ви можете додати нову схему до AD, ви ніколи нічого не можете видалити. З цієї причини завжди слід ретельно оцінювати альтернативи, коли програмне забезпечення вимагає розширень або оновлень схеми; будьте впевнені, що ви щось готові скористатися.

Перш за все, переконайтеся, що у вас є хороша резервна копія бази даних AD (зазвичай% SystemRoot% \ ntds \ NTDS.DIT)! Зберігайте в безпечному місці.

Якщо у вас є лише один постійний струм у вашому лісі, це дуже прямо вперед. Просто запустіть рекламну рекламу, як говорить інструкція (або нехай програмне забезпечення оновить AD).

Якщо у вас є більш ніж один DC , то переконаєтеся , що немає абсолютно ніяких помилок , про яких повідомляє dcdiagі replmon -syncall. Переконайтеся, що у вас є резервні копії кожної бази даних AD (з кожного постійного струму). Визначте DC за допомогою ролі Master Schema . Зробіть усі оновлення на / на цьому сервері, де це можливо.

AD захистить себе в більшості випадків від несправних оновлень схеми. Якщо файл LDIF не передає синтаксис (скажімо, ви BSOD посеред оновлення), він не буде завантажений. Кожне "оновлення" має власний набір файлів LDIF.

Я ніколи не бачив оновлення схеми (доки це робиться належним чином) пішла не так. МС справді, здається, зняли всі зупинки, роблячи цей процес надійним і надійним, і це показує. Єдиним реальним сценарієм, в якому я міг би бачити щось погане, було б, якщо ти частково втратив владу (навіть тоді я не впевнений), або якщо твоя АД вже почала вкручуватися (у такому випадку у тебе виникають більші проблеми).

Все, що насправді є оновленням схеми , - це розширити AD на нові об’єктні класи та властивості (якими може скористатися додаток або новіша версія AD), тому обсяг для катастроф досить обмежений. Ця стаття про техніку дає гідний огляд та висвітлює деякі можливі випадки, що трапляються з поганими речами.

Стандартним підходом для мене було б переконатися, що все заздалегідь працює належним чином (через dcdiag, replmon тощо), і гарантувати, що у мене є добре відома резервна копія AD у випадку, якщо трапиться найгірше. Я б зберігав цю резервну копію якомога довше, оскільки AD може бути настільки проклятим надійним, що проблеми можуть не проявлятися довгий час після цього. Тому стандартне резервне копіювання та відновлення було б моїм відкатом. Але, як я вже говорив, я ніколи не бачив, щоб це було так.

Один офлайн-підхід для роботи в режимі офлайн працював би для невеликого середовища. Для великих середовищ я вважаю за краще виконати оновлення на постійному струмі, який не підключений. Забезпечення процесу оновлення завершується успішно, потім підключіть його до мережі та повторіть зміни. Резервне копіювання в цьому сценарії було б таким же простим, як витягнути один привід дзеркального набору та вимкнути постійний струм та повторно вставити хороший диск, який був поточним до оновлення.

У великій мережі з сотнями або тисячами постійних токів повторне вставлення хорошого підходу постійного струму не буде практичним.