Windows Server 2008 Active Directory Snapshot
Windows Server 2008'in yeni özelliklerinden birisi de offline kullanım için Active Directory veritabanının snapshot ( anlık görüntülerini) oluşturabilmemizdir. Snapshot Volume Shadow Copy tarafından oluşturulan bir shadow copy'dir ve Active Directory veritabanı ve log dosyalarını içerir.Active Directory veritabanı ve log dosyalarını Snapshot’lar sayesinde Domain Controller'ı Directory Service Restore Mode ile başlatmadan görüntüleyebilirz.
Active Directory snapshot ile backup dosyamızı Active Directory DS altında farklı bir porta mount edebilir ve LDAP aracılığıyla backup dosyasındaki verileri salt okunur olarak görüntüleyebiliriz.
AD Snaphot'ları korumak için tıpkı D.C'lerin backup'larını koruduğumuz gibi koruma önlemleri almalıyız. Örneğin; AD DS snapshotları şifreleyebilir ya da verileri yetkisiz erişimlere karşı koruduğumuz güvenlik önlemleri gibi önlemler alabiliriz.
AD snapshotlarını kullanabileceğimiz birkaç senaryodan bahsedecek olursak; Örneğin AD yer alan bir nesnenin özellikleri kullanıcılardan birisi tarafından değiştirildi ve daha sonra kullanıcı eski özelliklere geri dönmesi gerektiğini belirtti. Böyle bir durumda varsa AD snapshot'ı farklı bir porta mount ederek değişen nesnenin eski özelliklerini kazanmasını sağlayabiliriz. Ayrıca silinen nesnelerin kurtarılması işlemini de benzer şekilde gerçekleştirebiliriz.
AD snaphotları mount edildiğinde varolan nesnelerin türlerini ve onlarla ilgili diğer bilgileri de görüntülemenizi sağlar. Ancak çalışan veritabanına nesneleri kopyalamanıza ve taşımanıza izin vermez. Kopyalamak ya da taşımak istediğiniz nesneleri manuel olarak export etmeniz ve sonra da çalışan veritabanına import etmeniz gerekir.
İlk etapta snapshot oluşturma, mount etme, export ve import işlemleri kafa karıştırıcı görünebilir. Kullandıkça hiç de zor olmadığını göreceksiniz. Active Directory Snapshot Oluşturma Active Directory snapshot oluşturmak için NTDSUTIL komutunu kullanmanız gerekir. Windows Server 2008 üzerinde AD DS ve AD LDS rollleri yüklü ise NTDSUTIL komutunu çalıştırıyoruz.
Bu işlemleri otomatikleştirerek Active Directory snapshot almayı kolaylaştırabiliriz. Bu işlemi nasıl yapacağımızı başka bir makalede anlatacağım.
Active Directory Snapshot Nasıl Mount Edilir?
Snapshot’a bağlanabilmek için öncelikle snapshot’ı mount etmeliyiz. Active Directory snapshot mount etmek için aşağıdaki işlemleri eksiksiz bir şekilde yerine getirelim. Komut satırını (cmd) Run as Administrator diyerek Admin yetkisi ile açıyoruz.
Active Directory snapshot'ına bağlanmak için DSAMAIN komutunu kulanmamız gerekiyor. DSAMAIN Windows Server 2008 ile gelen bir komuttur.Eğer Active Directory Domain Service ya da Active Directory Lightweight Directory Service rolü server'da yüklü ise DSAMAIN komutunu kullanabiliriz.
DSAMAIN'i kullandıktan sonra Active Directory snapshot'ına bağlanmak için, Active Directory Users and Computers, LDP.exe, ADSIEDIT.msc gibi GUI arabirimine sahip araçları kullanabiliriz. Ayrıca snapshot'a bağlandıktan sonra veritabanındaki verileri export etmek için LDIFDE yada CSVDE gibi araçları da kullanabiliriz.
DSAMAIN kullanarak snapshot'ın içerdiği verilere bağlandığımızda;
-
Veriler üzerindeki tüm izinler snapshot üzerinde de geçerlidir.
-
Varsayım olarak, Domain Admins ya da Enterprise Admins grubunun üyeleri snapshotları görüntüleme iznine sahiptir.
DSAMAIN komutunu kullanabilmek için NTDS.dit dosyasının tam yolunu bilmemiz gerekir. NTDS.dit dosyasının yolunu görüntülemek ya da kopyalamak için;
Windows Explorer'ı açın ve NTDS.dit dosyasının bulunduğu yere kadar ilerleyin. Dosya adı ve uzantısıyla birlikte dosyanın yolunu kopyalayın.
Active Directory snapshot'ını unmount ettikten sonra silmezsek güvenlik açısından riskli bir durum oluşturacağımızı unutmuyoruz.
Sonrasında DSAMAIN komutuna LDAP istekleri için bir port tanımlamak zorundayız. Burada önemli nokta kullanımda olmayan bir portu kullanmamız gerektiğidir. Ben bu örnekte 10389 nolu portu kullanacağım. DSAMAIN için atayacağım porttan sonraki 4 port LDAP, LDAP/SSL, GC, GC/SSL portlarından oluşacaktır. İstediğiniz takdirde her servis için farklı bir port tanımlayabilirsiniz.
• LDAP: 10389
• LDAP/SSL: 10390
• GC: 10391
• GC/SSL: 10392
Active Directory Snapshot’ına bağlanmak için aşağıdaki adımları takip edin;
Windows Server 2008 D.C üzerinde Domain Admins yetkisine sahip bir kullanıcı ile logon olun. Komut satırını “Run as Administrator” ile açın ve aşağıdaki komutu girin.
Active Directory Snapshot Bağlantısını Kesme (Disconnect)
AD Snapshot bağlantısını kesmek için tek yapmamız gereken CTRL+C tuş kombinasyonunu kullanmak. Bunun sonucunda aşağıdaki gibi bir çıktı ile karşılaşıyoruz.
Active Directory Snapshot Unmount
Ve yapmamız gereken son adımla yani snapshot unmount işlemi ile devam ediyoruz. Windows Server 2008 D.C üzerinde Domain Admins yetkisine sahip bir kullanıcı ile logon olun. Komut satırını “Run as Administrator” ile açın ve aşağıdaki komutları sırasıyla girin.
Active Directory Snapshot’ın Silinmesi
Active Direcotry Snapshotlarını silmek için komut satırında sırayla aşağıdaki komutları giriyoruz.
Ve böylece Active Directory Snapshot alınması, mount edilmesi, unmount edilmesi ve silinmesi gibi işlemleri anlattığımız makalenin sonuna geldik. Umarım yararlı olmuştur. Başka bir makalede görüşmek üzere.
Ceyhun ÇAMLI, 25.01.2010