De nos jours beaucoup dadministrateur utilisent le service dannuaire Active Directory sans se rendre compte des risques quils

encourent? Ntant jamais labri dune panne matrielle, dune coupure de courant entranant la perte ou la corruption de donnes rsidantes sur un contrleur de domaine, il est important de comprendre comment ragir lors dun disfonctionnement de celui-ci. Cet article est issu de la session SVR320 - Active Directory Recovery Planning du TechEd 2005 Amsterdam anim par Jason Heyes et Gary Williams de Microsoft UK. Vous retrouverez dans celui-ci les diffrents dsastres possibles classs sous forme de scnarios ainsi que leur processus de rsolution. 1. Dfinition d'un dsastre Active Directory 1.1 Les trois catgories de dsastre : Nous pouvons distinguer trois sortes de dsastre pour Active Directory, en fonction de cela notre plan de restauration sera diffrent :

Corruption de la base de donne (ndts.dit) o Par exemple une mise jour du schma Active Directory non finalise Corruption des donnes o Par exemple un administrateur supprime des donnes (telles que comptes utilisateurs, ordinateurs, groupes) par inadvertance Panne matrielle o Par exemple un disque dur qui tombe en panne

1.2 Pourquoi prvoir un plan de restauration en cas de dsastre ? Active Directory tant au centre de l'architecture de votre entreprise, son simple disfonctionnement (mme de courte dure), peut entraner des consquences importantes comme une perte de productivit ! Pour pallier ce problme, il faut tout d'abord avoir une trs bonne connaissance du dpannage Active Directory nottament sur ces sujets suivants :

Fonctionnement de la fort Service de rplication Inter/Intra site (lien vers l'article) Gestion des droits administratifs Fonctionnement du DNS (zone intgre ou non AD)

Avant toutes choses, vous devez possder (ou mettre en place si ce n'est pas le cas) une documentation trs prcise et complte propos de votre fort. Il est impratif de connatre la structure physique et logique de votre entreprise. Vous devez tre capable d'identifier les contrleur de domaine possdant des rles FSMO ainsi que les serveurs tte de pont (bridghead) dispatch dans les diffrentes sites. Une fois cette documentation effectue, n'oubliez pas de la mettre jour chaque modification de votre structure. C'est grce cette documentation que vous allez pouvoir identifier les lments importants surveiller et surtout dfinir votre stratgie de restauration. POur effectuer un monitoring de l'ensemble de votre parc informatique de manire centralise, Microsoft sortie un produit nomme "Microsoft Operations Manager (MOM)". Quel que soit le type de scnario que vous allez rencontrer, il faut absolument penser faire des sauvegardes rgulires de vos contrleurs de domaines les plus importants (FSMO, GC,...) ainsi que de tester vos sauvegardes en les restaurant sur des machines qui ne sont pas en production. 2. Scnarios de restauration Le dysfonctionnement de l'artre principale du rseau de l'entreprise est toujours une source de stress et d'ennuis. Mais suivant le niveau de dysfonctionnement (plus ou moins grave), les procdures de restauration seront, elles aussi, plus ou mois complexes et longues. Dans tous les cas il s'agt d'une tche fastidieuse que seul des personnes exprimentes peuvent raliser. 2.1 Scnario 1 : Dysfonctionnement d'un seul DC Le cas le plus simple est bien entendu le dysfonctionnement d'un unique DC au sein de l'entreprise. Cependant il faut quand mme suivre un certains nombres d'tapes afin d'tre certain que la restauration se passe correctement.

Dans ce cas concret, de nombreux problmes peuvent surgir telles que l'impossibilit d'ouvrir une session sur le domaine (dans le cas d'un seul DC), une surcharge de travail sur les autres contrleurs, absence possible de rle de matres d'opration durant la panne... Deux mthodes s'offrent vous pour la restauration :

1. 2.

Restauration partir d'une sauvegarde : dans ce cas, il suffit de redmarrer la machine en mode de Restauration Active Directory (F8) ou de rinstaller le systme d'exploitation puis de faire une restauration non force partir du mdia de sauvegarde puis de redmarrer la machine en mode normal. Aprs le redmarrage, une rplication va avoir lieu avec les autres DC et le service d'annuaire sera donc de nouveau jour. Dans le cas o vous n'avez pas de sauvegarde disponible pour votre serveur dfaillant et au moins deux DC dans votre entreprise, une deuxime mthode s'offre vous. Elle consiste supprimer le rle de contrleur de domaine du serveur dfaillant ou de rinstaller un OS neuf afin de repartir avec un serveur autonome (ou un nouveau serveur plus performant). Puis nettoyer les meta-donnes afin de supprimer toutes les rfrences de l'ancien contrleur de domaine. Enfin, rinstallez AD (dcpromo), puis laissez faire la rplication. Si jamais votre ancien serveur possdait des rles de matres d'opration il vous faudra les reprendre l'aide de la commande : seize.

L'avantage de la premire mthode est que la restauration est plus rapide qu'une rplication totale de la base Active Directory. 2.2 Scnario 2 : Dysfonctionnement d'un DC dans un site distant

Dans ce cas, seul le site distant sera gn par la panne, du coup nous nous retrouvons dans le mme cas qu'au dessus. Il faudra donc suivre la mme procdure sachant qu'un problme de rplication peut avoir lieu cause d'une liaison trop lente entre les deux sites, c'est pour cela que vous pouvez utiliser la fonctionnalit d'installation partir d'un mdia (dcpromo /adv) que nous offre Windows Server 2003 pour pallier ce problme. 2.3 Scnario 3 : Dysfonctionnement du dossier SYSVOL sur un seul DC Pour rappel, le dossier SYSVOL est un dossier cr et partag automatiquement la promotion d'un serveur membre entant que contrleur de domaine. Dans ce scnario, les utilisateurs ne pourront donc plus ouvrir de session l'aide de ce contrleur de domaine. Il s'agit d'un problme majeur pour lequel une enqute sera ncessaire avec de connatre les raisons de cette dfaillance pour viter qu'elle se reproduise. Dans ce cas, il va tre ncessaire de redmarrer en mode de restauration Active Directory (F8) afin de modifier la clef de registre suivante HKLM\System\CurrentControlSet\Services\NtFrs\Parameters\Backup\Restore\Process at Startup et de lui affecter la valeur D2. Cette valeur permet de spcifier que l'on souhaite faire une restauration non force. Au prochain redmarrage le dossier SYSVOL se reconstruira partir des autres DC encore en marche. 2.4 Scnario 4 : Dysfonctionnement du dossier SYSVOL sur tous les DC Nous sommes dans un cas trs dlicat. En effet, il s'agt rellement d'un problme inquitant puisque plus personne ne pourra ouvrir de session dans l'entreprise et du coup travailler. Heureusement une procdure longue et complexe existe pour ce cas prcis. Voici les tapes suivre pour rsoudre ce problme et restaurer correctement le dossier SYSVOL sur tous les DC. Tout d'abord il faut arrter et dsactiver le service FRS (File Replication Services) sur l'intgralit des contrleurs de domaines. Ensuite supprimer le partage du dossier SYSVOL (Attention : il ne faut pas supprimer le dossier en lui mme mais juste dsactiver son partage) galement sur l'ensemble des DC. Maintenant choisissez votre DC prfr pour la restauration, gnralement celui qui possde une sauvegarde de l'tat du systme (System State), la plus rcente puis effectuer la restauration du dossier SYSVOL dans un autre emplacement que celui habituel. Ensuite vous devez copier le dossier SYSVOL de votre DC prfr vers les autres DC distants, et ractiver le partage des dossiers SYSVOL et NETLOGON sur tous les DC distants.

Attention : il ne faut pas redmarrer le service de rplication de fichier (FRS) maintenant ! A partir de maintenant tous les utilisateurs peuvent de nouveau s'authentifier et reprendre le travail. Cependant, pour vous le travail n'est pas fini puisque vous devez encore remettre en place l'infrascture de votre fort. Pour cel commencez par supprimer le contenu du dossier SYSVOL sur votre DC prfr puis copiez le bon fichier SYSVOL partir de la restauration fate prcdemment. Configurez maintenant le service de replication de fichier (FRS) pour qu'il s'excute de faon non force sur tous les DC except sur le DC prfr, pour cel il vous suffit d'affecter la valeur D2 la cl suivante : HKLM\System\CurrentControlSet\Services\NtFrs\Parameters\Backup\Restore\Process at Startup. Maintenant configurez le service FRS pour se reconstruire en force sur votre DC prfr, il suffit d'affecter la valeur D4 la cl : HKLM\System\CurrentControlSet\Services\NtFrs\Parameters\Backup\Restore\Process at Startup. La procdure est presque termine, vous devez dmarrer le service FRS sur votre serveur prfr, puis fates de mme pour tous les autres DC distants. Pour vrifier que la rplication se passe bien vous devez apercevoir l'vnement N13516 dans l'observateur d'vnements ce qui indique que la rplication s'est correctement droule. Redmarrez enfin tous les DC distants et les clients ! 3. Restauration intgrale d'une fort Imaginons le cas le plus critque qu'il puisse arriver : c'est dire la perte soudaine de l'intgralit des contrleurs de domaines de votre fort pour une raison ou une autre (dfaillance matrielle gnrale, virus, etc. etc.). Dans ce cas, il existe bien videmment une possibilit fastidieuse pour remettre en route votre structure et c'est ce que nous allons prsenter. Avant tout, commencez par identifier quels sont les DC de chaque domaine qui possdent une sauvegarde rcente du systme (ainsi que System State). Pour russir cette procdure, il vous faut une sauvegarde de DC par domaine. Celle-ci devra contenir le maximum de rles importants (DNS, Catalogue Global,...) ainsi que des partitions d'application s'il y en a. Ensuite isolez les DCs que vous allez restaurer du rseau afin de ne pas corrompre les donnes restaures avec les autres DC. Maintenant nous allons passer la restauration des DC isols :

1. 2.
3.

Dmarrez en mode Restauration des Services Active Directory (F8 au dmarrage), vous devez bien videmment possder le mot de passe correspondant choisi lors de l'installation d'Active Directory. Restaurez le disque systme ainsi que l'tat du systme (System State) partir de votre sauvegarde. Marquez le dossier SYSVOL pour une restauration primaire. Redmarrez l'ordinateur en mode normal. Ouvrez une session en tant qu'administrateur (c'est le seul compte qui peut marcher en l'absence de Catalogue Global). Configurer l'ordinateur en tant que serveur DNS primaire. Augmentez le pool de RID disponible d'une grande valeur (par exemple 100 000) pour viter tout conflit de SID par la suite lors de la cration de nouveaux objets. Fates une prise de rles des matres d'opration l'aide de la commande Seize. Nettoyez les metadonnes de tous les autres DC du domaine. Nettoyez les enregistrements DNS de tous les autres DC du domaine. Stopez la rplication avec les DC affects en cassant l'authentification mutuelle. Rinitialisez le mot de passe des comptes d'ordinateurs deux fois. Rinitialisez le mot de passe "krbtgt". Supprimez les comptes d'ordinateurs de tous les autres DC du domaine. Rinitialisez le mot de passe d'approbation deux fois sur l'un des cts de l'approbation.

4. 5.
6. 7.

8.
9. 10. 11. 12. 13. 14. 15.

Maintenant il suffit de supprimer Active Directory ou de rinstaller le systme sur les autres DC (ceux qui ne possdaient pas de sauvegarde et qui sont rests dans le rseau). Enfin il faut remettre les nouveaux DC restaurs dans le rseau et attendre que la rplication se droule entre eux (Schma, Configuration, DNS). Et pour finir, rinstallez AD (dcpromo) sur les autres DC restants.