Copia de seguridad y recuperación de Active Directory y LDAP

LDAP y Active Directory son soluciones de directorio que almacenan información sobre ordenadores y dispositivos de la red, incluyendo, entre otros, las configuraciones de los usuarios y del software. Su instalación e implementación pueden incluir réplicas en diversos ordenadores de la organización, situados tanto en áreas locales como remotas. La copia de seguridad de Active Directory es fundamental para la continuidad del negocio de una organización en caso de que un objeto del directorio se elimine, se dañe o se configure incorrectamente.

Cuando un administrador elimina por error una cuenta de usuario, por ejemplo, o daña los atributos de un objeto, el daño es limitado, pero la solución estándar no lo es. Una herramienta de copia de seguridad convencional no puede acceder al interior del directorio para recuperar un único objeto, ya que copia el archivo completo de la base de datos y lo restaura como una unidad única e indivisible. Como resultado, solo le queda revertir todo el directorio a su última copia, lo que también descarta todos los cambios legítimos realizados desde que se realizó dicha copia. Bacula atribuye aproximadamente el 90 % de todas las pérdidas de datos relacionadas con LDAP a errores de los operadores y fallos de software, que es a lo que se enfrentan la mayoría de los equipos, en contraposición a los desastres que afectan a servidores completos.

Para contrarrestar y prevenir este tipo de incidentes, Bacula Enterprise utiliza el módulo de servidor de directorios, que incluye dos complementos. El complemento LDAP realiza copias de seguridad y restaura objetos individuales en cualquier directorio LDAP, incluidos OpenLDAP, Novell/SUSE eDirectory y DS389. El complemento MSAD realiza lo mismo con Active Directory y añade la gestión de los atributos específicos de AD, como SID, objectGUID, memberOf y userAccountControl. Con los complementos LDAP y AD de Bacula Enterprise, podrá recuperar el objeto concreto que se haya perdido o alterado, mientras que el resto del directorio seguirá funcionando sin alteraciones.

Funcionalidades de copia de seguridad de LDAP y AD

• Copia de seguridad a nivel de objeto – Los complementos de LDAP y MSAD realizan una copia de seguridad de cada objeto del directorio como un elemento independiente, en lugar de capturar la base de datos del directorio como un único archivo. Cada objeto se almacena en un espacio de nombres virtual del catálogo de Bacula, precedido por el prefijo «ldap:» o «msad:», y el árbol de información del directorio se representa como una estructura de directorios.
• B Niveles de copia de seguridad – Ambos complementos admiten los niveles de copia de seguridad completa, diferencial e incremental (las tareas diferenciales e incrementales se basan en la fecha de modificación del objeto registrada en el Catálogo en el momento de la copia de seguridad).
• Modo preciso – Los complementos LDAP y MSAD detectan los objetos eliminados entre copias de seguridad comparando el directorio activo con el Catálogo de Bacula.
• Consulta base única – Cada copia de seguridad ejecuta una única consulta base a partir del parámetro BASEDN para enumerar todos los objetos del subárbol, utilizando una respuesta de control paginada para recuperar todos los objetos disponibles del servidor.
• Captura completa de atributos – Los complementos guardan todos los atributos estándar y extendidos devueltos por el servidor, incluidos los atributos de sistema y dinámicos. Los atributos que no se pueden restaurar posteriormente, como los de solo lectura, se capturan igualmente en el momento de la copia de seguridad.
• Transporte cifrado – El complemento LDAP se conecta al directorio a través de LDAPS (SSL) cuando así se configura. El comportamiento de TLS se controla mediante los parámetros TLS_CACERT, TLS_CACERTDIR, TLS_CERFILE y TLS_REQCERT del archivo de configuración del complemento.

Funcionalidades de restauración de LDAP y AD

• Restauración a nivel de objeto – Los objetos se restauran únicamente en un servidor LDAP o MSAD operativo. Los complementos no pueden restaurar objetos en un sistema de archivos local, ya que los objetos de directorio almacenan sus datos como atributos, no como contenido de archivos.
• Restauración en la ubicación original – Una restauración ejecutada con el parámetro where=/ devuelve los objetos a su posición original en el árbol de directorios.
• Restauración con reubicación – Una restauración ejecutada con un DN de reubicación where= coloca los objetos en un subárbol diferente. La reubicación recupera toda la ruta del subárbol del objeto, del mismo modo que where=/tmp/restores funciona para los archivos normales.
• Interfaz de opciones de restauración – La opción 13 de la interfaz de modificación de la restauración expone variables del complemento que anulan el destino de la restauración. La interfaz acepta valores diferentes para basedn, ldapuri, binddn, contraseña de enlace y archivo de configuración, lo que redirige la restauración a un servidor diferente o a un usuario de enlace distinto.

Características operativas

• Listado de objetos en la consola – El comando .ls permite explorar objetos LDAP o MSAD directamente desde la consola de Bacula, utilizando los parámetros «client», «plugin» y «path». Si se especifica la ruta «/», se muestra el contexto de nomenclatura predeterminado del servidor; si se especifica un DN, se muestran los objetos hijos de dicho DN.
• Prueba de FileSet – El comando de listado de estimación comprueba un FileSet antes de que se ejecute una copia de seguridad real, mostrando los objetos que el complemento capturaría bajo el BASEDN configurado.
• Configuración flexible – Los parámetros de conexión pueden proporcionarse a través de un archivo de configuración específico para cada complemento, ldap.conf o msad.conf, o bien directamente en la línea Plugin= FileSet. Se puede asignar un nombre a un archivo de configuración independiente para cada FileSet con el fin de dirigir las copias de seguridad a diferentes servidores de directorios.
• Ocultación de contraseñas – La contraseña de enlace se puede almacenar de forma encriptada utilizando el parámetro hbindpass. El comando @encode de bconsole genera el valor encriptado, lo que elimina la contraseña en texto plano del archivo de configuración.
• Cuenta de copia de seguridad con privilegios mínimos – El complemento requiere una cuenta de directorio con permiso para consultar y leer objetos. Puede tratarse de una cuenta estándar con el rol de operador de copias de seguridad, en lugar de una cuenta de administrador con todos los privilegios.

Compatibilidad con plataformas y versiones

• Demonio de archivos de Linux – Ambos complementos se ejecutan en un demonio de archivos de Linux. El complemento MSAD realiza copias de seguridad de Microsoft Active Directory a través de la red desde ese host Linux, y actualmente no se admite la instalación del complemento MSAD en un servidor Windows. Esta restricción podría cambiar en una versión futura.
• Versiones de Active Directory – El complemento MSAD es compatible con Microsoft Active Directory a partir de Windows Server 2003 y se conecta al servidor AD mediante el protocolo de red LDAP.
• Compatibilidad con servidores LDAP – El complemento LDAP funciona con cualquier directorio accesible a través del protocolo LDAP, incluidos OpenLDAP, Novell/SUSE eDirectory y DS389. OpenLDAP es el servidor de referencia probado, y los directorios distintos de OpenLDAP deben validarse antes de su uso en producción.
• Versión de Bacula Enterprise – Los complementos LDAP y MSAD son compatibles con la versión 10 y posteriores de Bacula Enterprise. Estos complementos no están disponibles para versiones anteriores de Bacula Enterprise.

Almacenamiento de copias de seguridad y control de costes

Bacula Enterprise ofrece a los administradores un control directo sobre los costes de almacenamiento mediante la reducción de datos y el enrutamiento flexible de destinos.

• Deduplicación a nivel de bloque: cualquier bloque de datos que aparezca más de una vez en el catálogo de copias de seguridad se escribe en el almacenamiento únicamente una vez. El consumo de almacenamiento se reduce sin necesidad de modificar la política ni la programación de las copias de seguridad.
• Compresión adaptativa: los algoritmos de compresión se pueden configurar para cada trabajo. Los administradores ajustan la compresión en función del tipo de datos y los recursos disponibles.
• Múltiples tipos de destinos de almacenamiento: las copias de seguridad se escriben en discos locales, NAS, SAN, bibliotecas de cintas, almacenamiento de objetos en la nube (incluidos S3, Azure y Google Cloud) o cualquier combinación de estos dentro de una misma política.
• Almacenamiento de objetos compatible con S3: Bacula se conecta a cualquier proveedor compatible con S3 para la retención a largo plazo sin dependencia de un único proveedor.
• Flujos de trabajo de almacenamiento por niveles: los datos de las copias de seguridad pueden configurarse para que se trasladen automáticamente entre los distintos niveles de almacenamiento a medida que envejecen. Los puntos de recuperación a los que se accede con frecuencia permanecen en el almacenamiento rápido, mientras que los datos más antiguos se trasladan a destinos de menor coste.
• Incremental Forever: tras una copia de seguridad completa inicial, cada tarea posterior captura únicamente lo que ha cambiado. Ya no son necesarias las ventanas de copia de seguridad completa periódicas.
• Transferencias que tienen en cuenta el ancho de banda: solo los datos modificados atraviesan la red entre ejecuciones de copia de seguridad. La carga de la red de producción se mantiene baja sin necesidad de limitar el ancho de banda manualmente ni de recurrir a soluciones alternativas de programación.

Seguridad y cumplimiento normativo de las copias de seguridad

La seguridad y el cumplimiento normativo están integrados en todas las capas de la plataforma, desde el cifrado del transporte y el almacenamiento de datos hasta el control de acceso y el registro de auditoría.

• Cifrado AES-256: el cifrado AES-256 cubre toda la ruta de los datos, desde el cliente de origen hasta el destino de almacenamiento final. La gestión de claves se puede configurar para adaptarse a las políticas de seguridad de la organización.
• Copias de seguridad inmutables: el almacenamiento compatible con WORM bloquea los datos de las copias de seguridad para impedir su modificación o eliminación una vez escritos. El ransomware y las amenazas internas no tienen acceso al punto de recuperación.
• Controles de acceso granulares: los permisos de los usuarios se limitan a tareas específicas, flujos de trabajo de restauración y funciones de gestión. Cada administrador accede únicamente a lo que requiere su función.
• Auditoría completa de la actividad: cada copia de seguridad, restauración y cambio de configuración se registra con la identidad del usuario y la marca de tiempo. Los equipos de cumplimiento normativo y seguridad disponen de un registro de auditoría completo e ininterrumpido.
• Compatibilidad con el marco normativo: los controles de la plataforma se ajustan a los requisitos del RGPD, la HIPAA y SOC 2 mediante cifrado, políticas de retención configurables y registros de auditoría detallados.
• Arquitecturas que preservan la privacidad: las opciones de implementación de «conocimiento cero» permiten que la infraestructura de copias de seguridad funcione sin que los administradores tengan visibilidad alguna sobre los datos protegidos.

Gestión y administración de copias de seguridad

Dos interfaces complementarias y un conjunto completo de herramientas de gestión proporcionan visibilidad y control sobre todas las operaciones de copia de seguridad.

• Interfaz dual: BWeb ofrece una consola gráfica para la gestión y supervisión diarias de los trabajos. Bconsole (agente de usuario) proporciona a los operadores un control total mediante la línea de comandos para la creación de scripts, la automatización y la configuración avanzada.
• Escalabilidad sin límites: la misma arquitectura de plataforma gestiona entornos que van desde unos pocos servidores hasta implementaciones que alcanzan los miles, todo ello bajo un único plano de gestión.
• Detección automática de recursos: la plataforma analiza la infraestructura para identificar y catalogar automáticamente los destinos de copia de seguridad. La cobertura de protección se mantiene actualizada a medida que crece el entorno.
• Informes detallados: los informes programados abarcan los resultados de las tareas, las tendencias de capacidad, el estado de cumplimiento normativo y el rendimiento operativo con una periodicidad definida.
• Integración con sistemas externos: Bacula se conecta con herramientas de supervisión, sistemas de gestión de incidencias de TI y servicios de directorio, incluidos LDAP y Active Directory. No se requiere ningún desarrollo personalizado.

Cobertura de copias de seguridad en múltiples entornos

Los servidores físicos, las máquinas virtuales, los contenedores y la infraestructura en la nube se engloban en una única estrategia de copias de seguridad unificada.

• Virtualización multiplataforma: integración nativa con VMware vSphere, Hyper-V, KVM, Red Hat Virtualization, Xen, máquinas virtuales de Azure, Proxmox y Nutanix AHV, con una aplicación coherente de las políticas en todas las plataformas.
• Convergencia física y virtual: los servidores físicos, las estaciones de trabajo y las máquinas virtuales quedan protegidos a través de la misma interfaz de gestión con políticas de copia de seguridad unificadas.
• Compatibilidad con contenedores y entornos nativos de la nube: protección completa para entornos Docker, Kubernetes y OpenShift, con copias de seguridad de volúmenes persistentes e instantáneas coherentes con las aplicaciones.
• Integración de almacenamiento multinube: compatibilidad nativa con el almacenamiento en nube pública, privada e híbrida, incluidas las interfaces S3, S3-IA, Azure, Google Cloud, Oracle Cloud y Glacier, con la funcionalidad de coste mínimo de restauración (MRC).
• Integración de bases de datos y aplicaciones: compatibilidad con copias de seguridad en caliente para Oracle, SQL Server, MySQL, PostgreSQL, SAP HANA y otras aplicaciones de misión crítica, con plena coherencia transaccional.

Licencias de copia de seguridad predecibles

Las licencias se basan en el tamaño del entorno, no en el volumen de datos. Los directorios LDAP y Active Directory pueden crecer sin que ello suponga un aumento de los costes de licencia.

• Licencias independientes del volumen: el aumento de la capacidad de copia de seguridad no incrementa las cuotas de licencia. Los costes de protección de datos se mantienen estables a medida que aumentan los volúmenes de datos.
• Estructura de costes predecible: un modelo de precios fijos permite a los equipos planificar los presupuestos de infraestructura sin tener que tener en cuenta los costes variables vinculados al crecimiento del almacenamiento o a los cambios en la carga de trabajo.
• Precios independientes de la carga de trabajo: el tamaño de las bases de datos, el número de servidores y los volúmenes de almacenamiento no influyen en los costes de las licencias.
• Ventajas económicas a gran escala: las organizaciones que protegen entornos LDAP y Active Directory de gran tamaño o en rápido crecimiento pagan la misma cuota de licencia, independientemente de la cantidad de datos que añadan. La ventaja económica frente a los competidores que fijan sus precios en función de la capacidad aumenta a medida que crecen los volúmenes de datos.

Recuperación y continuidad del negocio

Cada escenario de recuperación sigue una ruta definida, desde la restauración de un único archivo hasta la reconstrucción completa de un centro de datos.

• Restauración «bare metal» a nivel de sistema: Bacula Enterprise recupera un servidor completo desde cero, incluyendo el sistema operativo, las aplicaciones, la configuración y los datos, sin necesidad de una instalación manual previa.
• Traslado de datos entre plataformas: los datos de copia de seguridad pueden recuperarse en un sistema operativo diferente al de origen. Los equipos disponen de opciones cuando no se dispone de hardware equivalente o se está llevando a cabo una migración.
• Replicación geográfica de copias de seguridad: los conjuntos de copias de seguridad se copian a ubicaciones de almacenamiento geográficamente separadas. Una interrupción que afecte a todo el sitio no compromete los puntos de recuperación.
• Programación de copias de seguridad frecuentes: el intervalo de tiempo en el que podría producirse una pérdida de datos se reduce a unos minutos.
• Validación automatizada de la restauración: la capacidad de recuperación se confirma mediante pruebas automatizadas sin necesidad de la intervención de un administrador ni de un proceso de validación independiente.