Reparaturwerkzeug für Verzeichnisdienste

Martin Kuppinger ist Autor, Berater und Analyst in Stuttgart.

Bei der Wiederherstellung eines Active-Directory stehen Administratoren vor zwei grossen Herausforderungen. Die erste liegt darin, dass die Reparatur mit den Bordmitteln in jedem Fall voraussetzt, dass der Domänencontroller heruntergefahren und in einem speziellen Wiederherstellungsmodus neu gestartet wird. Die zweite entsteht durch die Replikation. Wenn das Zurückspielen von einer Sicherung erfolgt, hat es zwischenzeitlich in der Regel schon Änderungen gegeben, die auch auf andere Domänencontroller repliziert wurden. Insbesondere die gezielte, selektive Wiederherstellung versehentlich gelöschter Objekte ist daher ausgesprochen komplex, weil man letztlich in diesen automatisierten Replikationsprozess eingreifen muss.

Damit nicht genug, sind auch die Werkzeuge, welche das System bereitstellt, nicht gerade komfortabel. Eines der wichtigsten Tools ist «ntdsutil.exe», eine Befehlszeilenanwendung, die ein hohes Mass an Wissen über das System voraussetzt.

Die Basisfunktionen

Deutlich einfacher als mit Bordmitteln lässt sich die Sicherung und Wiederherstellung mit dem Quest Recovery Manager for Active-Directory und der noch etwas erweiterten Variante für das Management ganzer Forests bewerkstelligen. Damit können Backup und Restore sowohl des Verzeichnisses selbst als auch der ADAM-Instanzen (Active-Directory in Application Mode) durchgeführt werden. Der Administrator hat sogar die Option, auf die Sicherungen einiger anderer Produkte zurückzugreifen. Das ist jedoch von geringem Nutzen, weil der Recovery Manager selber eine Komplettlösung darstellt, die alle Anforderungen in diesem Bereich abdeckt.

Dazu zählt neben der Sicherung und vollständigen Wiederherstellung des Active-Directory das gezielte Zurückholen einzelner Objekte und deren Attribute. Dafür kann auch ein Vergleich der einzelnen Einträge und Werte erfolgen, um zunächst zu analysieren, welche Änderungen eigentlich erforderlich sind. Das Beste dabei ist aber, dass das Active-Directory hierzu nicht einmal offline genommen werden muss.