Виды резервного копирования

«Эллес» поддерживает следующие виды резервного копирования:

Во всех режимах создается файл в формате .tar.bz2.

Для использования созданного файла с резервной копией домена в целях анализа отдельных объектов базы данных достаточно распаковать файл и выполнить требуемые запросы к базе данных на диске.

Онлайн-режим

В онлайн-режиме (online) формируется набор файлов с актуальными данными службы каталогов, не привязанными к состоянию конкретного контроллера домена.

Состав архива

Базовый состав (без опций, список не исчерпывающий — приводятся только основные файлы):

etc/
├── smb.conf          # Файл конфигурации Эллес
msg.lock/             # Файл с метаданными о состоянии блокировок
private/
├── sam.ldb.d/        # Файлы базы данных Эллес со всеми партициями
│   ├── ...
│   └── metadata.tdb
├── sam.ldb           # Файл основной базы данных Эллес
├── secrets.ldb       # Файл базы данных секретов
├── krb5.conf         # Файл конфигурации Kerberos
├── ...
state/                # Пустая директория
backup.txt            # Файл с информацией о резервной копии
gencache.tdb          # Кэш ресурсозатратных операций
names.tdb             # Кэш сопоставления имен и SID
sysvol.tar.gz         # Архив директории sysvol

В зависимости от опций:

  • с опцией --with-dns (только при локальном запуске, опция --server не задана) добавляются:

    bind-config/           # Файлы конфигурации BIND 9
├── named.conf
├── named.conf.local
└── named.conf.options
bind-dns/
└── named.conf        # Файл конфигурации для интеграции с BIND 9

    Описание:

    • bind-config/ — копируются файлы /etc/bind/named.conf* на локальном контроллере домена;

    • bind-dns/ — копируется файл /app/inno-samba/bind-dns/named.conf на локальном контроллере домена.

  • с опцией --with-tls (только при локальном запуске, опция --server не задана) добавляется:

    private/
...
├── tls/     # Все файлы из /app/inno-samba/private/tls/
│   ├── ...
│   └── ...
...

    Копируются все файлы ключей и сертификатов из директории /app/inno-samba/private/tls/ на локальном контроллере домена.

  • с опцией --no-secrets в архив не копируются файлы базы данных секретов;

  • с опцией --no-sysvol в архив не добавляется файл sysvol.tar.gz;

  • с опцией --server=DC:

    • sam.ldb, secrets.ldb и другие аналогичные файлы базы данных копируются с удаленного контроллера через механизм репликации;

    • sysvol.tar.gz копируется с удаленного сервера через SMB;

    • etc/smb.conf берется с локального сервера (если в опции --configfile не передается путь к другому файлу).

Назначение

Данный вид резервного копирования оптимально подходит в том случае, если требуется оперативно получить работоспособную долгосрочную или постоянную замену вышедшему из строя домену без детального изучения причин возникновения проблем в работе службы каталогов.

Создание резервной копии

Формат вызова для выполнения операции резервного копирования с помощью samba-tool (см. описание подкоманды в разделе «Администрирование домена»):

sudo samba-tool domain backup online \
   --targetdir=<output-dir>

Команда всегда выполняется на локальном сервере.

Если используется опция --server, она определяет, с какого сервера будет выполняться репликация, но не указывает место выполнения команды.

Автономный режим

В автономном режиме (offline) создается резервная копия локальных файлов контроллера домена, на котором запускается команда резервного копирования.

Состав архива

Базовый состав (список не исчерпывающий — приводятся только основные файлы):

etc/
├── smb.conf
private/
├── sam.ldb.d/
│   ├── ...
│   └── metadata.tdb
├── tls/
│   ├── ...
│   └── ...
├── sam.ldb
├── secrets.ldb
├── krb5.conf
├── ...
state/
├── ...
backup.txt
SHA256SUM
sysvol.tar.gz

Особенности:

  • sam.ldb.d/ содержит все файлы из директории /app/inno-samba/private/smb.ldb.d;

  • tls/ копируется из /app/inno-samba/private/tls/ (всегда, без опций);

  • sysvol.tar.gz содержит полную копию sysvol.

Назначение

Данный вид резервного копирования оптимален для изучения причин возникновения проблем в работе службы каталогов, так как при его использовании в резервную копию включаются дополнительные данные, как правило, не подлежащие реплицированию.

В больших доменах на создание такой резервной копии требуется меньше времени, поскольку исключаются временные затраты на передачу данных из базы данных службы каталогов по сети и запись их на локальный диск.

Однако следует учитывать, что в этом случае в файл резервной копии попадает вся чувствительная и секретная информация, существующая в домене.

Кроме того, при копировании базы данных с диска потенциально повышается риск попадания в резервную копию ошибочных данных.

Создание резервное копии

Формат вызова для выполнения операции резервного копирования с помощью samba-tool (см. описание подкоманды в разделе «Администрирование домена»):

sudo samba-tool domain backup offline \
   --targetdir=<output-dir>

Онлайн-режим с переименованием

В онлайн-режиме с переименованием (rename) формируется набор файлов с актуальными данными службы каталогов, не привязанными к состоянию конкретного контроллера домена, с переименованием домена.

Состав архива

Состав архива тот же, что и при онлайн-режиме.

Назначение

Данный вид резервного копирования позволяет с минимальными усилиями временно подменить вышедший из строя домен таким образом, чтобы, с одной стороны, обеспечить работоспособность ключевых сетевых сервисов службы каталогов, а с другой — иметь возможность детально исследовать причины возникновения проблем в существующем домене.

Также он может использоваться для создания копии существующего домена для целей тестирования.

При клонировании базы данных службы каталогов в нее вносятся изменения, обеспечивающие использование другого NetBIOS-имени и другой области DNS в новом домене. Изменяются следующие объекты:

  • все DN-имена;

  • объект раздела домена и его NetBIOS-имя;

  • объекты зоны DNS, а также атрибуты dnsRoot.

Установленные до момента копирования значения userPrincipalName (UPN) не изменяются. При выполнении команды резервного копирования с переименованием домена с опцией --keep-dns-realm пользователи могут использовать для входа в домен свои полные UPN-имена. В противном случае они могут использовать для входа имена в формате user@new-realm (при условии, что новая область корректно обрабатывается конфигурацией Kerberos).

Атрибуты GPO (gPCFileSysPath и gPLink) не изменяются. Файлы в sysvol сохраняются с прежним именем области в путях (например, sysvol/elles.inno.tech/Policies). Каталог для файлов политик в sysvol по умолчанию создается с новым именем области (например, sysvol/new.renamed.com/Policies).

Создание домена в режиме переименования состоит из двух шагов:

  • samba-tool domain backup rename — создание клона базы данных службы каталогов, переименование его и формирование файла с резервной копией;

  • samba-tool domain backup restore — формирование из резервной копии файлов, необходимых для работы нового контроллера домена.

Создание резервное копии

Формат вызова для выполнения операции резервного копирования с помощью samba-tool (см. описание подкоманды в разделе «Администрирование домена»):

sudo samba-tool domain backup rename TESTLAB testlab.inno.tech \
   --targetdir=<backup-dir>

В результате выполнения команды формируется файл резервной копии <backup-dir>/samba-backup-testlab.inno.tech-<timestamp>.tar.bz2. Данный файл далее может использоваться для восстановления клонированной и переименованной базы данных на диске.

В восстановленном домене будет только один новый контроллер домена с именем, указанными с помощью опции --newservername. В последующем к нему могут быть присоединены другие контроллеры домена.

Для указания новой директории для размещения всех файлов службы каталогов (smb.conf, sam.ldb и т. п.) может использоваться опция --targetdir:

sudo samba-tool domain backup restore \
   --newservername=<new-DC-name> \
   --targetdir=<restore-dir> \
   --backup-file=<backup-file>

Для сохранения и корректного восстановления NTACL файлов sysvol, а также UID прочих внутренних файлов, используемых службой каталогов, данная команда должна выполняться от имени пользователя root.

Перед запуском службы каталогов рекомендуется проверить корректность настроек в восстановленном файле smb.conf и при необходимости вручную внести в него изменения.

Также следует обратить внимание на то, что при запуске службы каталогов автоматически запускается скрипт samba_dnsupdate. При первоначальном обновлении записей DNS в результате его работы в лог-файлах могут появиться ошибки.

Выбор вида резервного копирования

Режим Описание Рекомендуемое применение Особенности

Онлайн

Создает набор актуальных данных работающего домена, не привязанный к локальному состоянию определенного контроллера

Регулярное аварийное резервное копирование

Похоже на получение данных при присоединении нового контроллера

Автономный

Копирует локальные файлы определенного контроллера вместе с локальными метаданными

Диагностика, исследование локальных проблем, получение копии отключенного контроллера

Может включать локальные ошибки и нереплицируемые данные

Онлайн с переименованием

Создает копию домена с другим NetBIOS-именем и DNS-областью

Тестирование восстановления, временная замена, лабораторная копия

UPN и пути GPO могут потребовать дополнительной настройки