Ce qui rend cette sauvegarde particulière
Restaurer un annuaire n'est pas restaurer des fichiers. L'annuaire est répliqué entre plusieurs contrôleurs qui se synchronisent en permanence, et chaque objet porte des numéros de version qui arbitrent les conflits.
Remettre en place une copie ancienne sans précaution provoque des effets pénibles : des objets supprimés qui réapparaissent, des mots de passe qui redeviennent les anciens, des relations de confiance rompues entre machines.
D'où deux modes de restauration, à ne pas confondre.
Les deux modes
La restauration non autoritaire. Le contrôleur restauré redémarre, puis se met à jour auprès des autres. On l'utilise pour remplacer un contrôleur en panne quand les autres sont sains. C'est le cas courant.
La restauration autoritaire. On désigne explicitement les objets restaurés comme faisant foi, et ils s'imposent aux autres contrôleurs. On l'utilise pour récupérer une suppression qui s'est déjà répliquée partout.
Le mauvais choix produit soit une restauration sans effet, soit l'écrasement de modifications légitimes.
Ce qu'il faut sauvegarder
L'état du système d'au moins deux contrôleurs de domaine, dont un porteur des rôles particuliers de l'annuaire.
Fréquence : quotidienne. Rétention : suffisante pour couvrir un délai de détection, donc plusieurs mois, avec des points mensuels. Une suppression de compte passe souvent inaperçue plusieurs semaines.
Point technique à connaître : une sauvegarde d'annuaire a une durée de validité, généralement quelques mois, liée à la durée de vie des objets supprimés. Au-delà, elle ne doit plus être utilisée pour une restauration, sous peine d'incohérences de réplication.
La restauration complète, celle qu'on n'a jamais faite
Si tous les contrôleurs sont perdus, par exemple après un chiffrement généralisé, la procédure est longue, séquentielle et pleine de pièges : restaurer le premier contrôleur, nettoyer les traces des autres dans l'annuaire, reconstruire les suivants, vérifier la réplication et les rôles.
Deux conseils qui valent l'essentiel de cette leçon.
Écrivez la procédure à froid, avec les noms réels de vos machines et de vos rôles. Improvisée pendant l'incident, elle est le meilleur moyen d'aggraver la situation.
Testez-la une fois dans un environnement isolé. C'est un exercice d'une journée, et il vaut plus que dix documents.
Les erreurs classiques
Ne sauvegarder qu'un seul contrôleur. S'il est justement celui qui est corrompu, il ne reste rien.
Restaurer un instantané de machine virtuelle comme s'il s'agissait d'une machine ordinaire. Selon la version et la configuration, cela peut provoquer des incohérences de réplication.
Oublier que la corbeille de l'annuaire évite la plupart des restaurations : pour une suppression d'objets, elle règle le problème en quelques minutes, sans toucher aux sauvegardes.
À retenir
Deux contrôleurs sauvegardés au minimum, quotidiennement, avec des points anciens. Non autoritaire pour remplacer une machine, autoritaire pour récupérer une suppression. Écrivez la procédure complète à froid et essayez-la une fois.