Récupération progressive d'Active Directory pour une reprise après sinistre plus rapide - Microsoft Platform Management - Blogs - Quest Community

En 2017, l'ensemble des quelque 150 contrôleurs de domaine en ligne de Maersk ont été détruits suite à l'attaque NotPetya, interrompant toutes les fonctions commerciales critiques qui dépendaient d'Active Directory pour l'authentification¹. Afin de permettre au géant du transport maritime de fonctionner à nouveau, les administrateurs de Maersk IAM, après avoir accompli plusieurs actes herculéens pour obtenir une copie du seul contrôleur de domaine (DC) hors ligne restant, ont restauré un DC sur une Surface Pro 4.². Tout ce dont ils avaient besoin était un contrôleur de domaine en ligne, même s'il n'était pas sur le matériel le plus idéal, pour lancer le reste du processus de reprise après sinistre.

Cet article se concentrera sur les raisons pour lesquelles l'approche Maersk, et en fait tout plan de reprise après sinistre informatique qui donne la priorité à la restauration des contrôleurs de domaine clés, donne aux administrateurs Active Directory (AD) un meilleur contrôle sur le processus de récupération, permet aux services critiques de commencer leurs options de récupération plus rapidement, et permet de se connecter plus rapidement aux fonctions commerciales critiques. Un processus de récupération progressive constitue également une bonne pratique Microsoft pour restaurer une forêt Active Directory complètement inaccessible.

Qu’est-ce qu’un plan de reprise après sinistre progressif pour Active Directory ?

Dans la documentation en ligne de Microsoft Windows Server, ils expliquent comment restaurer l'intégralité d'une forêt Active Directory. Ils expliquent comment déterminer les sauvegardes à utiliser et vous pouvez en savoir plus sur les différentes méthodologies de sauvegarde Active Directory disponibles pour la planification de la reprise après sinistre dans mon article précédent.

Cependant, en examinant le processus de restauration réel (une fois que vous avez choisi votre sauvegarde), Microsoft recommande d'avoir un contrôleur de domaine dédié pour chaque domaine qui est le contrôleur de domaine préféré dans une stratégie de reprise après sinistre afin de faciliter le processus de restauration et le plan de fiabilité et d'exécuter le processus de restauration. récupération des forêts³. J'expliquerai davantage pourquoi cela se produit dans la section suivante.

Pour prendre en charge la restauration progressive d'un sinistre Active Directory complet, Quest Recovery Manager for Active Directory Disaster Recovery Edition vous permet d'effectuer la récupération initiale au cours de la première phase pour que la forêt fonctionne le plus rapidement possible, vous permettant ainsi d'économiser davantage. Il est temps de restaurer complètement la structure forestière au cours de la deuxième phase.

• Phase 1 : Effectuer une récupération initiale
  Effectuez la restauration d'un ou plusieurs contrôleurs de domaine dans chaque domaine.

• Phase 2 : redéployer les contrôleurs de domaine restants
  Restaurer les contrôleurs de domaine restants via la promotion

Avantages de la récupération progressive d'Active Directory

Dépendances ! La chaîne de dépendance est la raison fondamentale pour laquelle une récupération progressive de la maladie d’Alzheimer est importante. Si AD est en panne, les utilisateurs ne peuvent pas s'authentifier pour travailler. Si AD et les applications critiques sont compromis, la restauration de ces applications critiques ne peut pas avoir lieu tant que AD n'est pas restauré. La restauration par phases facilite le processus de restauration car elle fait la différence entre les minutes, les heures, les jours et même les semaines.

Allez-vous restaurer parfaitement l’intégralité de votre forêt AD avant de laisser démarrer les autres processus de récupération ? Non. Vous allez restaurer sur une Surface Pro 4 ou sur un matériel plus idéal en veille si vous aviez un plan de reprise après sinistre. Vous y allez pour de bon, pas parfait. La phase 2 est votre opportunité de planifier la perfection.

Dans ledit plan de reprise après sinistre, vous aurez défini les paramètres des objectifs de temps de récupération (RTO) et des objectifs de point de récupération (RPO) AD. Alors que le RPO définira la fréquence à laquelle vous sauvegardez et répliquez votre AD, le RTO définira la rapidité avec laquelle l'application doit être récupérée dans les limites de tolérance de l'organisation. Le RTO doit donner la priorité aux contrôleurs de domaine à restaurer en premier pour maintenir l’activité en activité.

Permettez-moi d’enfoncer le clou avec un scénario. Supposons que vous disposiez de deux domaines appelés Domaine A et Domaine B.

• Le domaine A compte 3 DC dispersés à travers l'Amérique du Nord
• Le domaine B compte 10 DC répartis en Amérique du Nord et en Europe

Les ransomwares attaquent et compromettent les deux domaines en chiffrant les disques. Les 3 contrôleurs de domaine du domaine A et les 10 contrôleurs de domaine du domaine B sont physiquement inaccessibles.

Cela signifie qu'Active Directory est en panne et que toutes les applications critiques et les utilisateurs qui en dépendent sont également en panne.

Ainsi, dans notre scénario, la phase 1 de votre plan de reprise après sinistre Active Directory restaurerait 1 contrôleur de domaine du domaine A, tel que celui situé au siège social, et peut-être 2 contrôleurs de domaine du domaine B, tels que ceux des centres de données géographiquement importants.

En effet, avec une solution telle que Recovery Manager for Active Directory Disaster Recovery Edition, vous pouvez automatiser la restauration de ces 2 contrôleurs de domaine critiques à partir de sauvegardes propres (analysées à la recherche de logiciels malveillants) en environ une heure, ouvrant ainsi la voie. pour le reste du processus du plan de reprise après sinistre informatique. UNE HEURE - à peu près en fonction de ce que vous avez élaboré et mis en pratique votre plan de continuité des activités.

Même si certaines connexions sont lentes pour les bureaux distants, le fait est qu'ils peuvent toujours effectuer leur travail tandis que le reste des autres contrôleurs de domaine des deux domaines sont restaurés au cours de la phase 2 (avec des vitesses de connexion plus rapides).

Avec le mode de repromotion Recovery Manager for Active Directory Disaster Recovery Edition , les administrateurs AD peuvent également exécuter la phase 2 autant de fois qu'ils le souhaitent si certaines régions sont prêtes à promouvoir leurs contrôleurs de domaine alors que d'autres ne le sont pas.

TL;DR

La récupération après sinistre d'une forêt Active Directory facilite le processus de restauration, permet une connexion rapide et réduit le temps que d'autres applications critiques doivent attendre pour commencer leur processus de restauration. Identifiez au moins un contrôleur de domaine principal dans chaque domaine à prioriser dans un scénario de récupération. Mettez-les en ligne rapidement, obtenez les transactions acceptées et portez ensuite votre attention sur les contrôleurs de domaine les moins critiques. Visez le bien d’abord, et perfectionnez-vous ensuite.

Quest Recovery Manager pour Active Directory Disaster Recovery Edition automatise le processus de récupération par étapes et vous permet même d'exécuter la phase 2 autant de fois que nécessaire. Restez à l'écoute de ce blog pour savoir comment automatiser et accélérer la promotion DC avec IFM dans la phase 2.

Sources :

1 : https://www.wired.com/story/notpetya-cyberattack-ukraine-russia-code-crashed-the-world/
2 : https://gvnshtn.com/maersk-me-notpetya/
3 : https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/ad-forest-recovery-determine-how-to-recover