Backup e ripristino di Active Directory e LDAP

LDAP e Active Directory sono soluzioni di directory che memorizzano informazioni relative a computer e dispositivi presenti in rete, incluse, a titolo esemplificativo ma non esaustivo, le configurazioni degli utenti e dei software. La loro installazione e implementazione può comportare la presenza di repliche su vari computer dell’organizzazione, situati in aree locali o remote. Il backup di Active Directory è fondamentale per la continuità operativa di un’organizzazione nel caso in cui un oggetto della directory venga cancellato, danneggiato o configurato in modo errato.

Quando un amministratore elimina l’account utente sbagliato, ad esempio, o danneggia gli attributi di un oggetto, il danno è circoscritto ma la soluzione standard non lo è. Uno strumento di backup convenzionale non è in grado di accedere all’interno della directory per recuperare un singolo oggetto, poiché copia l’intero file del database e lo ripristina come un’unica unità indivisibile. Di conseguenza, l’unica opzione a disposizione è quella di ripristinare l’intera directory all’ultima copia disponibile, il che comporta anche l’eliminazione di ogni modifica legittima apportata dopo la creazione di tale copia. Bacula attribuisce circa il 90% di tutte le perdite di dati relative a LDAP a errori dell’operatore e a guasti del software, che è ciò che la maggior parte dei team deve affrontare, anziché a disastri che coinvolgono l’intero server.

Per contrastare e prevenire questo tipo di incidenti, Bacula Enterprise utilizza il modulo Directory Server, fornito con due plugin. Il plugin LDAP esegue il backup e il ripristino di singoli oggetti su qualsiasi directory LDAP, tra cui OpenLDAP, Novell/SUSE eDirectory e DS389. Il plugin MSAD svolge la stessa funzione per Active Directory e aggiunge la gestione degli attributi specifici di AD, quali SID, objectGUID, memberOf e userAccountControl. Grazie ai plugin LDAP e AD di Bacula Enterprise, è possibile ripristinare il singolo oggetto che è andato perso o è stato alterato, mentre il resto della directory continua a funzionare senza subire alcuna modifica.

Funzionalità di backup LDAP e AD

• Backup a livello di oggetto – I plugin LDAP e MSAD eseguono il backup di ciascun oggetto della directory come elemento separato, anziché acquisire l’intero database della directory in un unico file. Ciascun oggetto viene archiviato in uno spazio dei nomi virtuale nel Catalogo di Bacula, preceduto dal prefisso ldap: o msad:, con l’albero delle informazioni della directory rappresentato come una struttura ad albero.
• Livelli di backup – Entrambi i plug-in supportano i livelli di backup completo, differenziale e incrementale (i processi differenziali e incrementali si basano sulla data di modifica dell’oggetto registrata nel Catalogo al momento del backup).
• Modalità accurata – I plug-in LDAP e MSAD rilevano gli oggetti eliminati tra un backup e l’altro confrontando la directory attiva con il Catalogo di Bacula.
• Singola query di base – Ogni backup esegue una singola query di base a partire dal parametro BASEDN per enumerare tutti gli oggetti presenti nella sottodirectory, utilizzando una risposta di controllo a pagine per recuperare tutti gli oggetti disponibili dal server.
• Acquisizione completa degli attributi – I plugin salvano tutti gli attributi standard ed estesi restituiti dal server, compresi quelli di sistema e quelli dinamici. Gli attributi che non possono essere ripristinati in seguito, come quelli di sola lettura, vengono comunque acquisiti al momento del backup.
• Trasporto crittografato – Il plugin LDAP si connette alla directory tramite ldaps (SSL) quando configurato. Il comportamento TLS è controllato tramite i parametri TLS_CACERT, TLS_CACERTDIR, TLS_CERFILE e TLS_REQCERT nel file di configurazione del plugin.

Funzionalità di ripristino LDAP e AD

• Ripristino a livello di oggetto – Gli oggetti vengono ripristinati esclusivamente su un server LDAP o MSAD operativo. I plugin non possono ripristinare oggetti su un file system locale, poiché gli oggetti di directory conservano i propri dati sotto forma di attributi, non come contenuto di file.
• Ripristino nella posizione originale – Un’operazione di ripristino eseguita con il parametro where=/ riporta gli oggetti nella loro posizione originale nell’albero della directory.
• Ripristino con ricollocazione – Un’operazione di ripristino eseguita con un DN di ricollocazione where= colloca gli oggetti in un sottoalbero diverso. La ricollocazione ripristina l’intero percorso del sottoalbero dell’oggetto, allo stesso modo in cui where=/tmp/restores funziona per i file normali.
• Interfaccia delle opzioni di ripristino – L’opzione 13 nell’interfaccia di modifica del ripristino espone le variabili del plugin che sovrascrivono la destinazione del ripristino. L’interfaccia accetta valori diversi per basedn, ldapuri, binddn, bind password e config file, il che reindirizza il ripristino verso un server diverso o un utente di binding diverso.

Funzionalità operative

• Elenco degli oggetti nella console – Il comando .ls consente di sfogliare gli oggetti LDAP o MSAD direttamente dalla console di Bacula, utilizzando i parametri client, plugin e path. Il percorso / visualizza il contesto di denominazione predefinito del server, mentre un percorso corrispondente a un DN mostra gli oggetti figli di tale DN.
• Verifica del FileSet – Il comando di elenco delle stime verifica un FileSet prima dell’esecuzione di un backup effettivo, visualizzando gli oggetti che il plugin acquisirebbe sotto il BASEDN configurato.
• Configurazione flessibile – I parametri di connessione possono essere specificati tramite un file di configurazione per ciascun plugin, ldap.conf o msad.conf, oppure direttamente nella riga Plugin= FileSet. È possibile assegnare un nome a un file di configurazione separato per ciascun FileSet, al fine di indirizzare i backup verso diversi server di directory.
• Offuscamento della password – La password di bind può essere memorizzata in forma offuscata utilizzando il parametro hbindpass. Il comando @encode di bconsole genera il valore offuscato, rimuovendo la password in chiaro dal file di configurazione.
• Account di backup con privilegi minimi – Il plugin richiede un account di directory con autorizzazione a interrogare e leggere gli oggetti. Può trattarsi di un account standard con il ruolo di Operatore di backup, anziché di un account amministratore con privilegi completi.

Supporto per piattaforme e versioni

• Linux File Daemon – Entrambi i plugin funzionano su un Linux File Daemon. Il plugin MSAD esegue il backup di Microsoft Active Directory in rete da tale host Linux; l’installazione del plugin MSAD su un Windows Server non è attualmente supportata. Tale limitazione potrebbe subire modifiche in una versione futura.
• Versioni di Active Directory – Il plugin MSAD supporta Microsoft Active Directory a partire da Windows Server 2003 e si connette al server AD utilizzando il protocollo di rete LDAP.
• Compatibilità con i server LDAP – Il plugin LDAP funziona con qualsiasi directory raggiungibile tramite il protocollo LDAP, inclusi OpenLDAP, Novell/SUSE eDirectory e DS389. OpenLDAP è il server di riferimento testato; le directory diverse da OpenLDAP devono essere sottoposte a verifica prima dell’utilizzo in produzione.
• Versione Bacula Enterprise – I plugin LDAP e MSAD sono applicabili alla versione 10 e successive di Bacula Enterprise. I plugin non sono disponibili per le versioni precedenti di Bacula Enterprise.

Archiviazione dei backup e controllo dei costi

Bacula Enterprise offre agli amministratori il controllo diretto sui costi di archiviazione grazie alla riduzione dei dati e all’instradamento flessibile delle destinazioni.

• Deduplicazione a livello di blocco – Qualsiasi blocco di dati che compaia più di una volta nel catalogo dei backup viene scritto nell’archivio una sola volta. Il consumo di spazio di archiviazione si riduce senza alcuna modifica alla politica o alla pianificazione dei backup.
• Compressione adattiva – Gli algoritmi di compressione sono configurabili per ogni singolo processo. Gli amministratori ottimizzano la compressione in base al tipo di dati e alle risorse disponibili.
• Diversi tipi di destinazioni di archiviazione – I backup vengono scritti su disco locale, NAS, SAN, librerie a nastro, archiviazione a oggetti nel cloud (tra cui S3, Azure e Google Cloud) o qualsiasi combinazione di queste opzioni all’interno di un’unica politica.
• Archiviazione a oggetti compatibile con S3 – Bacula si collega a qualsiasi provider compatibile con S3 per la conservazione a lungo termine senza vincoli legati a un unico fornitore.
• Flussi di lavoro di archiviazione a più livelli – È possibile configurare lo spostamento automatico dei dati di backup tra i diversi livelli di archiviazione man mano che invecchiano. I punti di ripristino a cui si accede frequentemente rimangono su archivi veloci, mentre i dati più vecchi vengono spostati verso destinazioni a costo inferiore.
• Incrementale per sempre – Dopo un backup completo iniziale, ogni processo successivo acquisisce solo ciò che è cambiato. Non sono più necessarie finestre di backup complete ricorrenti.
• Trasferimenti attenti alla larghezza di banda – Solo i dati modificati transitano sulla rete tra un’esecuzione di backup e l’altra. Il carico sulla rete di produzione rimane basso senza necessità di limitazioni manuali o soluzioni alternative di pianificazione.

Sicurezza e conformità dei backup

La sicurezza e la conformità normativa sono integrate in ogni livello della piattaforma, dalla crittografia del trasporto e dell’archiviazione dei dati al controllo degli accessi e alla registrazione degli audit.

• Crittografia AES-256 – La crittografia AES-256 copre l’intero percorso dei dati dal client di origine alla destinazione finale di archiviazione. La gestione delle chiavi è configurabile in modo da adattarsi alle politiche di sicurezza dell’organizzazione.
• Copie di backup immutabili – L’archiviazione compatibile con WORM blocca i dati di backup impedendone la modifica o la cancellazione una volta scritti. Il ransomware e le minacce interne non hanno alcuna possibilità di raggiungere il punto di ripristino.
• Controlli di accesso granulari – Le autorizzazioni degli utenti si limitano a specifici processi, flussi di lavoro di ripristino e funzioni di gestione. Ciascun amministratore accede solo alle risorse necessarie al proprio ruolo.
• Audit completo delle attività – Ogni operazione di backup, ripristino e modifica della configurazione viene registrata con l’identità dell’utente e il timestamp. I team addetti alla conformità e alla sicurezza dispongono di una traccia di audit completa e ininterrotta.
• Supporto del quadro normativo – I controlli della piattaforma sono conformi ai requisiti del GDPR, dell’HIPAA e dello standard SOC 2 grazie alla crittografia, alle politiche di conservazione configurabili e ai registri di audit dettagliati.
• Architetture a tutela della privacy – Le opzioni di implementazione a conoscenza zero consentono all’infrastruttura di backup di funzionare senza concedere agli amministratori alcuna visibilità sui dati protetti.

Gestione e amministrazione dei backup

Due interfacce complementari e una suite completa di strumenti di gestione garantiscono visibilità e controllo su tutte le operazioni di backup.

• Doppia interfaccia – BWeb offre una console grafica per la gestione e il monitoraggio quotidiani dei processi. Bconsole (user agent) offre agli operatori il pieno controllo tramite riga di comando per la creazione di script, l’automazione e la configurazione avanzata.
• Scalabilità senza limiti – La stessa architettura di piattaforma gestisce ambienti che vanno da una manciata di server a implementazioni che contano migliaia di server, il tutto sotto un unico piano di gestione.
• Rilevamento automatico delle risorse – La piattaforma esegue una scansione dell’infrastruttura per identificare e catalogare automaticamente le destinazioni di backup. La copertura di protezione rimane aggiornata man mano che l’ambiente cresce.
• Reportistica dettagliata – I report programmati coprono i risultati dei processi, l’andamento della capacità, lo stato di conformità e le prestazioni operative con cadenza definita.
• Integrazione con sistemi esterni – Bacula si collega a strumenti di monitoraggio, sistemi di ticketing IT e servizi di directory, tra cui LDAP e Active Directory. Non è richiesto alcuno sviluppo personalizzato.

Copertura di backup multi-ambiente

Server fisici, macchine virtuali, container e infrastrutture cloud rientrano tutti in un’unica strategia di backup unificata.

• Virtualizzazione multipiattaforma – Integrazione nativa con VMware vSphere, Hyper-V, KVM, Red Hat Virtualization, Xen, Azure VM, Proxmox e Nutanix AHV, con applicazione coerente delle politiche su tutte le piattaforme.
• Convergenza tra ambiente fisico e virtuale – I server fisici, le workstation e le macchine virtuali sono protetti tramite la stessa interfaccia di gestione con politiche di backup unificate.
• Supporto per container e ambienti cloud-native – Protezione completa per gli ambienti Docker, Kubernetes e OpenShift con backup di volumi persistenti e snapshot coerenti con le applicazioni.
• Integrazione dello storage multi-cloud – Supporto nativo per lo storage su cloud pubblico, privato e ibrido, comprese le interfacce S3, S3-IA, Azure, Google Cloud, Oracle Cloud e Glacier, con la funzionalità Minimal Restore Cost (MRC)
• Integrazione di database e applicazioni – Supporto per il backup a caldo di Oracle, SQL Server, MySQL, PostgreSQL, SAP HANA e altre applicazioni mission-critical con piena coerenza transazionale.

Licenze di backup prevedibili

Le licenze si basano sulle dimensioni dell’ambiente, non sul volume dei dati. Le directory LDAP e Active Directory possono crescere senza comportare un aumento dei costi di licenza.

• Licenze indipendenti dal volume – L’aumento della capacità di backup non comporta un aumento dei costi di licenza. I costi di protezione dei dati rimangono costanti anche con l’espansione dei volumi di dati.
• Struttura dei costi prevedibile – Un modello di prezzi fissi consente ai team di pianificare i budget per l’infrastruttura senza dover tenere conto dei costi variabili legati alla crescita dello storage o alle variazioni del carico di lavoro.
• Prezzi indipendenti dal carico di lavoro – Le dimensioni dei database, il numero di server e i volumi di archiviazione non incidono sui costi di licenza.
• Vantaggi in termini di costi su larga scala – Le organizzazioni che proteggono ambienti LDAP e Active Directory di grandi dimensioni o in rapida crescita pagano lo stesso canone di licenza indipendentemente dalla quantità di dati aggiunti. Il vantaggio in termini di costi rispetto ai concorrenti che applicano prezzi basati sulla capacità aumenta all’aumentare dei volumi di dati.

Ripristino e continuità operativa

Ogni scenario di ripristino prevede un percorso definito, dal ripristino di singoli file alla ricostruzione completa di un sito.

• Ripristino bare metal a livello di sistema – Bacula Enterprise ripristina un server completo partendo da zero, inclusi il sistema operativo, le applicazioni, la configurazione e i dati, senza richiedere una precedente installazione manuale.
• Trasferimento dei dati multipiattaforma – I dati di backup possono essere ripristinati su un sistema operativo diverso da quello di origine. I team dispongono di diverse opzioni qualora non sia disponibile hardware equivalente o sia in corso una migrazione.
• Replica geografica dei backup – I set di backup vengono copiati in sedi di archiviazione geograficamente distanti. Un’interruzione a livello di sito non comporta la perdita dei punti di ripristino.
• Pianificazione di backup frequenti – La finestra di potenziale perdita dei dati si riduce a pochi minuti.
• Convalida automatizzata del ripristino – La ripristinabilità viene confermata tramite test automatizzati senza il coinvolgimento dell’amministratore né un processo di convalida separato.