Резерв контроллера домена: system state и проверка restore
Снимайте копирование состояния системы (system state) с контроллера домена (DC) и раз в квартал проверяйте restore на машине, которая не реплицируется с боевым доменом. Общая схема хранения: 3-2-1. Если копии уже не открываются: плейбук недоступных копий. Если сам DC под подозрением — не restore в первую очередь: плейбук контроллера домена.
Статья опирается на логику направления «Безопасность данных» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 11 требует практики восстановления: cisecurity.org/controls. Снятие system state: wbadmin start systemstatebackup. Восстановление леса Microsoft описывает отдельно и просит изоляцию от боевой сети: AD Forest Recovery. Это не российский закон. Шаги захвата ролей и «починки» чужого домена не приводим.
Что копировать
Файловый Borg с диска DC не заменяет system state: в нём Active Directory, реестр машины, SYSVOL как часть состояния. На своём DC, с правами Backup Operators или администратора, из поднятой консоли:
wbadmin start systemstatebackup -backupTarget:F:Подставьте свой том или UNC своей доли, куда DC не может удалять старые копии тем же паролем. Ожидаемо: задание завершается без ошибки, появляется версия. Риск: писать копию на тот же диск DC — шифровальщик и ошибка диска заберут и домен, и «бэкап».
Проверка, что версии есть:
wbadmin get versions -backupTarget:F:Ожидаемо: список с временем и типом, где видно system state. Команды: wbadmin get versions. Расписание — не реже чем срок, за который вы готовы потерять учётки и GPO; для многих это ежедневно плюс копия вне площадки по 3-2-1.
Как проверять restore
Раз в квартал поднимите изолированную виртуальную машину без маршрута в боевой домен и восстанавливайте туда, не на живой DC. Restore в сеть, где стоят другие контроллеры, может дать рассинхрон USN — Microsoft как раз требует изоляцию при восстановлении леса. Боевой лес этой статьёй не чиним: для катастрофы откройте их руководство, не чат.
Успех проверки: изолированная машина загружается, каталог виден локально, версия совпадает с выбранной. Потом изолированную машину выключите, в прод её не включайте.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Есть Borg /etc, нет system state | Сняли не то. Добавьте wbadmin |
| Версии только на диске DC | Нет 3-2-1. Унесите копию |
| Restore сразу в боевой VLAN «проверить» | Риск рассинхрона. Только изолированная сеть |
| DC взломан, восстанавливаете поверх | Точка входа жива. Сначала плейбук DC, копия — на чистую изолированную |
Где это в модели зрелости
Материал относится к направлению «Безопасность данных» (хаб: данные, карта: карта зрелости). 3-2-1 учит хранить любые данные. Эта страница — что именно снимать с DC и куда нельзя возвращать копию.
Как проверить
- wbadmin get versions показывает свежий system state не только на диске DC.
- За квартал есть акт: restore на изолированной машине, без маршрута в прод.
- Пароль DSRM хранится отдельно от пароля администратора домена.
- Нет инструкции «восстановить DC в тот же VLAN для проверки».
Источники
- CIS Control 11: cisecurity.org/controls.
- wbadmin start systemstatebackup: learn.microsoft.com.
- wbadmin get versions: learn.microsoft.com.
- AD Forest Recovery, изоляция: learn.microsoft.com.
