Sicherung und Wiederherstellung von Active Directory und LDAP

LDAP und Active Directory sind Verzeichnislösungen, die Informationen über Computer und Geräte im Netzwerk speichern, darunter unter anderem Benutzer- und Softwarekonfigurationen. Bei ihrer Installation und Implementierung können Replikate auf verschiedenen Computern innerhalb der Organisation entstehen, die sich an lokalen oder entfernten Standorten befinden. Die Sicherung von Active Directory ist für die Geschäftskontinuität einer Organisation von entscheidender Bedeutung, falls ein Verzeichnisobjekt gelöscht, beschädigt oder falsch konfiguriert wird.

Wenn ein Administrator beispielsweise versehentlich das falsche Benutzerkonto löscht oder die Attribute eines Objekts beschädigt, ist der Schaden zwar begrenzt, die Standardbehebung jedoch nicht. Ein herkömmliches Backup-Tool kann nicht in das Verzeichnis eingreifen, um ein einzelnes Objekt wiederherzustellen, da es die gesamte Datenbankdatei kopiert und als eine geschlossene Einheit wiederherstellt. Infolgedessen bleibt Ihnen nur die Möglichkeit, das gesamte Verzeichnis auf den Stand der letzten Kopie zurückzusetzen, wodurch auch alle berechtigten Änderungen verworfen werden, die seit der Erstellung dieser Kopie vorgenommen wurden. Bacula führt etwa 90 % aller LDAP-bezogenen Datenverluste auf Bedienungsfehler und Softwareausfälle zurück – Probleme, mit denen die meisten Teams konfrontiert sind, im Gegensatz zu vollständigen Serverausfällen.

Um solchen Vorfällen entgegenzuwirken und sie zu verhindern, nutzt Bacula Enterprise das Verzeichnisserver-Modul, das mit zwei Plugins ausgeliefert wird. Das LDAP-Plugin sichert und stellt einzelne Objekte in jedem LDAP-Verzeichnis wieder her, darunter OpenLDAP, Novell/SUSE eDirectory und DS389. Das MSAD-Plugin übernimmt dieselbe Funktion für Active Directory und bietet darüber hinaus Unterstützung für AD-spezifische Attribute wie SID, objectGUID, memberOf und userAccountControl. Mit den LDAP- und AD-Plugins von Bacula Enterprise können Sie das einzelne Objekt wiederherstellen, das verloren gegangen oder verändert wurde, während der Rest des Verzeichnisses unverändert weiterläuft.

LDAP- und AD-Sicherungsfunktionen

• Sicherung auf Objektebene – Die LDAP- und MSAD-Plugins sichern jedes Verzeichnisobjekt als eigenständigen Eintrag, anstatt die Verzeichnisdatenbank als eine einzige Datei zu erfassen. Jedes Objekt wird im Bacula-Katalog unter einem virtuellen Namensraum gespeichert, dem das Präfix „ldap:“ oder „msad:“ vorangestellt ist, wobei der Verzeichnisinformationsbaum als Verzeichnisstruktur dargestellt wird.
• Sicherungsstufen – Beide Plugins unterstützen die Sicherungsstufen „Voll“, „Differenziell“ und „Inkrementell“ (differenzielle und inkrementelle Jobs stützen sich auf den zum Zeitpunkt der Sicherung im Katalog erfassten Änderungszeitpunkt des Objekts).
• Präzisionsmodus – Die LDAP- und MSAD-Plugins erkennen Objekte, die zwischen den Sicherungen gelöscht wurden, indem sie das Live-Verzeichnis mit dem Bacula-Katalog abgleichen.
• Einzelne Basisabfrage – Bei jedem Backup wird eine einzelne Basisabfrage ausgehend vom Parameter „BASEDN“ ausgeführt, um alle Objekte im Teilbaum aufzulisten, wobei eine paginierte Steuerantwort verwendet wird, um alle verfügbaren Objekte vom Server abzurufen.
• Vollständige Attributerfassung – Die Plugins speichern jedes vom Server zurückgegebene Standard- und erweiterte Attribut, einschließlich System- und dynamischer Attribute. Attribute, die später nicht wiederhergestellt werden können, wie beispielsweise schreibgeschützte Attribute, werden zum Zeitpunkt des Backups dennoch erfasst.
• Verschlüsselter Transport – Das LDAP-Plugin stellt bei entsprechender Konfiguration eine Verbindung zum Verzeichnis über LDAPS (SSL) her. Das TLS-Verhalten wird über die Parameter TLS_CACERT, TLS_CACERTDIR, TLS_CERFILE und TLS_REQCERT in der Plugin-Konfigurationsdatei gesteuert.

LDAP- und AD-Wiederherstellungsfunktionen

• Wiederherstellung auf Objektebene – Objekte werden ausschließlich auf einem funktionsfähigen LDAP- oder MSAD-Server wiederhergestellt. Die Plugins können Objekte nicht in ein lokales Dateisystem wiederherstellen, da Verzeichnisobjekte ihre Daten als Attribute und nicht als Dateiinhalte speichern.
• Wiederherstellung am ursprünglichen Speicherort – Ein Wiederherstellungsvorgang mit dem Parameter where=/ versetzt Objekte an ihre ursprüngliche Position im Verzeichnisbaum zurück.
• Wiederherstellung mit Neuzuweisung – Ein Wiederherstellungsvorgang mit einem where=-DN zur Neuzuweisung platziert Objekte in einem anderen Teilbaum. Bei der Neuzuweisung wird der gesamte Objekt-Teilbaumpfad wiederhergestellt, ähnlich wie where=/tmp/restores bei regulären Dateien funktioniert.
• Schnittstelle für Wiederherstellungsoptionen – Option 13 in der Schnittstelle zur Anpassung der Wiederherstellung stellt Plugin-Variablen bereit, die das Wiederherstellungsziel überschreiben. Die Schnittstelle akzeptiert andere Werte für basedn, ldapuri, binddn, bind password und config file, wodurch die Wiederherstellung auf einen anderen Server oder einen anderen Bind-Benutzer umgeleitet wird.

Funktionsmerkmale

• Objektliste in der Konsole – Der Befehl .ls durchsucht LDAP- oder MSAD-Objekte direkt über die Bacula-Konsole unter Verwendung der Parameter „client“, „plugin“ und „path“. Der Pfad „/“ zeigt den Standard-Namenskontext des Servers an, während der Pfad eines DN die untergeordneten Objekte dieses DN anzeigt.
• FileSet-Test – Der Befehl „estimate listing“ testet ein FileSet vor der Ausführung einer tatsächlichen Sicherung und zeigt die Objekte an, die das Plugin unter dem konfigurierten BASEDN erfassen würde.
• Flexible Konfiguration – Verbindungsparameter können über eine plugin-spezifische Konfigurationsdatei (ldap.conf oder msad.conf) oder inline in der Zeile „Plugin= FileSet“ angegeben werden. Für jedes FileSet kann eine eigene Konfigurationsdatei benannt werden, um Sicherungen auf unterschiedliche Verzeichnisserver auszurichten.
• Passwortverschleierung – Das Bind-Passwort kann mithilfe des Parameters hbindpass in verschleierter Form gespeichert werden. Der bconsole-Befehl @encode generiert den verschleierten Wert, wodurch das Passwort im Klartext aus der Konfigurationsdatei entfernt wird.
• Backup-Konto mit minimalen Berechtigungen – Das Plugin benötigt ein Verzeichniskonto mit der Berechtigung zum Abfragen und Lesen von Objekten. Dies kann ein Standardkonto sein, das die Rolle „Backup-Operator“ innehat, anstatt eines vollständigen Administratorkontos.

Plattform- und Versionsunterstützung

• Linux-Dateidaemon – Beide Plugins laufen auf einem Linux-Dateidaemon. Das MSAD-Plugin sichert Microsoft Active Directory über das Netzwerk von diesem Linux-Host aus; die Installation des MSAD-Plugins auf einem Windows-Server wird derzeit nicht unterstützt. Diese Einschränkung kann sich in einer zukünftigen Version ändern.
• Active Directory-Versionen – Das MSAD-Plugin unterstützt Microsoft Active Directory ab Windows Server 2003 und stellt über das LDAP-Netzwerkprotokoll eine Verbindung zum AD-Server her.
• LDAP-Server-Kompatibilität – Das LDAP-Plugin funktioniert mit jedem Verzeichnis, das über das LDAP-Protokoll erreichbar ist, einschließlich OpenLDAP, Novell/SUSE eDirectory und DS389. OpenLDAP ist der getestete Referenzserver; andere Verzeichnisse als OpenLDAP sollten vor dem Einsatz in der Produktion überprüft werden.
• Bacula Enterprise-Version – Die LDAP- und MSAD-Plugins gelten für Bacula Enterprise ab Version 10. Für frühere Bacula Enterprise-Versionen sind die Plugins nicht verfügbar.

Backup-Speicher und Kostenkontrolle

Bacula Enterprise ermöglicht Administratoren durch Datenreduzierung und flexibles Ziel-Routing die direkte Kontrolle über die Speicherkosten.

• Deduplizierung auf Blockebene – Jeder Datenblock, der im Backup-Katalog mehr als einmal vorkommt, wird nur einmal auf den Speicher geschrieben. Der Speicherbedarf sinkt, ohne dass Änderungen an der Backup-Richtlinie oder am Zeitplan erforderlich sind.
• Adaptive Komprimierung – Komprimierungsalgorithmen sind pro Auftrag konfigurierbar. Administratoren passen die Komprimierung je nach Datentyp und verfügbaren Ressourcen an.
• Verschiedene Speicherzieltypen – Backups werden auf lokale Festplatten, NAS, SAN, Bandbibliotheken, Cloud-Objektspeicher wie S3, Azure und Google Cloud oder eine beliebige Kombination davon innerhalb einer einzigen Richtlinie geschrieben.
• S3-kompatibler Objektspeicher – Bacula lässt sich mit jedem S3-kompatiblen Anbieter verbinden, um eine langfristige Aufbewahrung ohne Herstellerabhängigkeit zu gewährleisten.
• Mehrstufige Speicher-Workflows – Backup-Daten können so konfiguriert werden, dass sie je nach Alter automatisch zwischen verschiedenen Speicherebenen verschoben werden. Häufig aufgerufene Wiederherstellungspunkte verbleiben auf schnellem Speicher, während ältere Daten auf kostengünstigere Speicherorte verlagert werden.
• „Incremental Forever“ – Nach einem anfänglichen Vollbackup erfasst jeder nachfolgende Job nur die Änderungen. Wiederkehrende Zeitfenster für Vollbackups sind nicht mehr erforderlich.
• Bandbreitenbewusste Übertragungen – Zwischen den Backup-Läufen werden nur geänderte Daten über das Netzwerk übertragen. Die Auslastung des Produktionsnetzwerks bleibt gering, ohne dass manuelle Drosselungen oder Umgehungslösungen bei der Planung erforderlich sind.

Sicherheit und Compliance bei Backups

Sicherheit und die Einhaltung gesetzlicher Vorschriften sind in jeder Ebene der Plattform integriert, von der Verschlüsselung bei Datenübertragung und -speicherung bis hin zur Zugriffskontrolle und Protokollierung von Prüfvorgängen.

• AES-256-Verschlüsselung – Die AES-256-Verschlüsselung deckt den gesamten Datenpfad vom Quellclient bis zum endgültigen Speicherziel ab. Die Schlüsselverwaltung lässt sich entsprechend den Sicherheitsrichtlinien Ihres Unternehmens konfigurieren.
• Unveränderliche Backup-Kopien – WORM-kompatibler Speicher schützt Backup-Daten nach dem Schreiben vor Änderungen oder Löschung. Ransomware und Insider-Bedrohungen haben keinen Zugriff auf den Wiederherstellungspunkt.
• Granulare Zugriffskontrollen – Benutzerberechtigungen beschränken sich auf bestimmte Aufträge, Wiederherstellungsworkflows und Verwaltungsfunktionen. Jeder Administrator hat nur Zugriff auf die Funktionen, die für seine Rolle erforderlich sind.
• Umfassende Aktivitätsprotokollierung – Jede Sicherung, Wiederherstellung und Konfigurationsänderung wird mit Benutzeridentität und Zeitstempel protokolliert. Compliance- und Sicherheitsteams erhalten einen vollständigen, lückenlosen Prüfpfad.
• Unterstützung regulatorischer Rahmenbedingungen – Die Plattformkontrollen entsprechen den Anforderungen der DSGVO, HIPAA und SOC 2 durch Verschlüsselung, konfigurierbare Aufbewahrungsrichtlinien und detaillierte Prüfprotokolle.
• Datenschutzorientierte Architekturen – Zero-Knowledge-Bereitstellungsoptionen ermöglichen den Betrieb der Backup-Infrastruktur, ohne dass Administratoren Einblick in die geschützten Daten erhalten.

Backup-Management und -Administration

Zwei sich ergänzende Benutzeroberflächen und eine umfassende Suite von Management-Tools bieten Transparenz und Kontrolle über alle Backup-Vorgänge hinweg.

• Doppelte Benutzeroberfläche – BWeb bietet eine grafische Konsole für die tägliche Verwaltung und Überwachung von Jobs. Bconsole (User Agent) bietet Betreibern vollständige Befehlszeilensteuerung für Skripterstellung, Automatisierung und erweiterte Konfiguration.
• Skalierbarkeit ohne Grenzen – Dieselbe Plattformarchitektur verwaltet Umgebungen von einer Handvoll Servern bis hin zu Tausenden von Servern – alles unter einer einzigen Verwaltungsebene.
• Automatische Ressourcenerkennung – Die Plattform scannt die Infrastruktur, um Backup-Ziele automatisch zu identifizieren und zu katalogisieren. Der Schutzumfang bleibt auch bei wachsender Umgebung stets auf dem neuesten Stand.
• Detaillierte Berichterstellung – Geplante Berichte erfassen in festgelegten Intervallen die Ergebnisse von Jobs, Kapazitätstrends, den Compliance-Status sowie die Betriebsleistung.
• Integration externer Systeme – Bacula lässt sich mit Überwachungstools, IT-Ticketingsystemen und Verzeichnisdiensten wie LDAP und Active Directory verbinden. Es sind keine kundenspezifischen Entwicklungen erforderlich.

Backup-Abdeckung für verschiedene Umgebungen

Physische Server, virtuelle Maschinen, Container und Cloud-Infrastruktur werden alle im Rahmen einer einzigen, einheitlichen Backup-Strategie abgedeckt.

• Multi-Plattform-Virtualisierung – Native Integration für VMware vSphere, Hyper-V, KVM, Red Hat Virtualization, Xen, Azure VM, Proxmox und Nutanix AHV mit einheitlicher Anwendung der Richtlinien auf allen Plattformen.
• Konvergenz von physischen und virtuellen Systemen – Physische Server, Workstations und virtuelle Maschinen werden über dieselbe Verwaltungsschnittstelle mit einheitlichen Backup-Richtlinien geschützt.
• Unterstützung für Container und Cloud-native Umgebungen – Umfassender Schutz für Docker, Kubernetes und OpenShift-Umgebungen mit Backups persistenter Volumes und anwendungskonsistenten Snapshots.
• Multi-Cloud-Speicherintegration – Native Unterstützung für öffentlichen, privaten und hybriden Cloud-Speicher, einschließlich S3-, S3-IA-, Azure-, Google Cloud-, Oracle Cloud- und Glacier-Schnittstellen mit „Minimal Restore Cost“ (MRC)-Funktionalität
• Datenbank- und Anwendungsintegration – Unterstützung von Hot-Backups für Oracle, SQL Server, MySQL, PostgreSQL, SAP HANA und andere geschäftskritische Anwendungen mit vollständiger Transaktionskonsistenz.

Vorhersehbare Lizenzierung für Backups

Die Lizenzierung richtet sich nach der Größe der Umgebung und nicht nach dem Datenvolumen. LDAP- und Active Directory-Verzeichnisse können wachsen, ohne dass dadurch höhere Lizenzkosten entstehen.

• Volumenunabhängige Lizenzierung – Eine steigende Backup-Kapazität führt nicht zu höheren Lizenzgebühren. Die Kosten für den Datenschutz bleiben auch bei wachsenden Datenmengen konstant.
• Vorhersehbare Kostenstruktur – Dank eines festen Preismodells können Teams ihre Infrastrukturbudgets planen, ohne variable Kosten berücksichtigen zu müssen, die mit Speicherwachstum oder Änderungen der Arbeitslast verbunden sind.
• Workload-unabhängige Preisgestaltung – Datenbankgrößen, Serveranzahl und Speichervolumen haben keinen Einfluss auf die Lizenzkosten.
• Kostenvorteile im großen Maßstab – Unternehmen, die große oder schnell wachsende LDAP- und Active-Directory-Umgebungen schützen, zahlen unabhängig von der Menge der hinzugefügten Daten stets die gleiche Lizenzgebühr. Der Kostenvorteil gegenüber Wettbewerbern, deren Preise sich nach der Kapazität richten, wächst mit steigendem Datenvolumen.

Wiederherstellung und Geschäftskontinuität

Jedes Wiederherstellungsszenario folgt einem festgelegten Ablauf, von der Wiederherstellung einzelner Dateien bis hin zur vollständigen Wiederherstellung eines Standorts.

• Bare-Metal-Wiederherstellung auf Systemebene – Bacula Enterprise stellt einen kompletten Server von Grund auf wieder her, einschließlich Betriebssystem, Anwendungen, Konfiguration und Daten, ohne dass zuvor eine manuelle Installation erforderlich ist.
• Plattformübergreifende Datenübertragung – Sicherungsdaten können auf einem anderen Betriebssystem als dem Ursprungssystem wiederhergestellt werden. Teams haben verschiedene Optionen, wenn keine identische Hardware verfügbar ist oder eine Migration im Gange ist.
• Geografische Backup-Replikation – Backup-Sätze werden an geografisch getrennte Speicherorte kopiert. Ein standortweiter Ausfall führt nicht zum Verlust der Wiederherstellungspunkte.
• Häufige Backup-Planung – Das potenzielle Zeitfenster für Datenverluste schrumpft auf wenige Minuten.
• Automatisierte Wiederherstellungsvalidierung – Die Wiederherstellbarkeit wird durch automatisierte Tests bestätigt, ohne dass ein Administrator eingreifen muss oder ein separater Validierungsprozess erforderlich ist.