AD DS 备份和恢复的最佳实践？

Question

因此，Microsoft 声称“您不能将网络共享文件夹用作系统状态备份的备份目标”，但是我看到很多帖子表明他们可以使用 wbadmin 从命令提示符执行此操作。

我的最终目标：

我不关心备份我们的任何域控制器，因为如果一个域控制器死了，我只会启动一个新的域控制器并让剩余的 DC 复制到它。然而，我担心至少要确保我有 AD 的备份，以防我们的整个 AD 基础设施被灌输并需要从备份中恢复。

以下是我迄今为止为实现目标所做的工作：

在我的 PDCe 中，我使用以下命令成功备份到网络共享：

wbadmin start systemstatebackup -backuptarget:\srv-backup\b$\srv-dc1

然后我创建了一个这样的计划备份：

wbadmin enable backup -addtarget:\srv-backup\b$\srv-dc1 -systemstate -schedule:03:00

第二天我验证了计划备份成功完成。

所以这里有新问题：

1. 如何正确备份 AD？我目前的方法正确吗？

2. 如果我当前的备份方法在任何给定时间只能产生一个备份（因为它备份到网络共享并且每晚都会覆盖以前的备份），我是否应该考虑获取本地存储以将备份推送到（这样我可以有多个备份），或者我应该以相同的方式备份我的其他两个 DC；到网络共享（当然是错开时间表 - 那么我至少会有一个或多个我可以依赖的每日备份）？

3. 我在社区中的另一个线程中读到有人说“从 C:\Windows 备份 NTDS 文件夹”，但我认为这是不必要的，因为它是在系统状态备份期间备份的 - 对吗？

Answer 1

所以微软声称“你不能使用网络共享文件夹作为系统状态备份的备份目标”

那是（或曾经）对旧版操作系统（Vista RTM 和 Server 2008 RTM - 这可能已经或可能没有在这些操作系统的服务包或更新中解决）的原始 Windows 备份版本的限制。Windows 7+/Server 2008 R2+ 可以很好地处理到网络文件夹的系统状态备份。

1. 如何正确备份 AD？我目前的方法正确吗？

不可以。备份一个域控制器与备份 Active Directory 不同。 如果一切顺利，那么可以肯定，您可能会侥幸逃脱。当然，备份只存在于一切不顺利的时候，所以当你想出一个备份策略时，你应该总是考虑可能会出错的地方。在这种情况下，我看到了两个主要问题。

1. 您只备份了一个域控制器。如果/当与该域控制器之间的复制中断，或者该域控制器是强制您从备份还原的损坏源时，您将不再拥有实际 Active Directory 的备份。

2. 您对一份备份的保留期非常无用。当您意识到自己有问题时，您可能已经用包含问题的副本覆盖了您的备份。所以，这需要修复，幸运的是，这并不难 - 将您的备份存储在以拍摄日期命名的文件夹中。您可能还需要考虑进行增量备份以节省空间。每周完整，每日增量是一种非常常见的策略，它在磁盘空间和备份恢复的速度/易用性之间取得了很好的平衡。

2. 如果我当前的备份方法在任何给定时间只能产生一个备份（因为它备份到网络共享并且每晚都会覆盖以前的备份），我是否应该考虑获取本地存储以将备份推送到（这样我可以有多个备份），或者我应该以相同的方式备份我的其他两个 DC；到网络共享（当然是错开时间表 - 那么我至少会有一个或多个我可以依赖的每日备份）？

如上所述/暗示，您应该每天备份所有域控制器。如上所述，将备份放在以日期命名的文件夹中，以防止备份被覆盖，并考虑增量和/或差异备份以节省空间。

3. 我在社区中的另一个线程中读到有人说“从 C:\Windows 备份 NTDS 文件夹”，但我认为这是不必要的，因为它是在系统状态备份期间备份的 - 对吗？

你是对的。NTDS（NT 目录服务）文件夹包含本质上是您的 Active Directory 域的数据库。系统状态备份应该获取该文件夹和其中的数据库。（当然，在您的备份上验证这一点不会有什么坏处。）俗话说，没有经过恢复测试的备份并不是真正的备份。