Backup e recuperação do Active Directory e do LDAP

O LDAP e o Active Directory são soluções de diretório que armazenam informações sobre computadores e dispositivos na rede, incluindo, entre outras coisas, configurações de usuários e de software. Sua instalação e implementação podem envolver réplicas em diversos computadores da organização, localizados em áreas locais ou remotas. O backup do Active Directory é vital para a continuidade dos negócios de uma organização, caso um objeto do diretório seja excluído, corrompido ou configurado incorretamente.

Quando um administrador exclui a conta de usuário errada, por exemplo, ou corrompe os atributos de um objeto, o dano é limitado, mas a solução padrão não é. Uma ferramenta de backup convencional não consegue acessar o interior do diretório para recuperar um único objeto, pois copia o arquivo inteiro do banco de dados e o restaura como uma unidade única e fechada. Como resultado, resta apenas reverter todo o diretório para sua última cópia, o que também descarta todas as alterações legítimas feitas desde que essa cópia foi feita. O Bacula atribui cerca de 90% de todas as perdas de dados relacionadas ao LDAP a erros do operador e falhas de software, que é o que a maioria das equipes enfrenta, em oposição a desastres que afetam o servidor inteiro.

Para combater e prevenir esse tipo de incidente, o Bacula Enterprise utiliza o Módulo de Servidor de Diretório, que vem com dois plug-ins. O plug-in LDAP realiza backup e restauração de objetos individuais em qualquer diretório LDAP, incluindo OpenLDAP, Novell/SUSE eDirectory e DS389. O plug-in MSAD faz o mesmo para o Active Directory e adiciona suporte aos atributos específicos do AD, como SID, objectGUID, memberOf e userAccountControl. Com os plug-ins LDAP e AD do Bacula Enterprise, é possível recuperar o objeto específico que foi perdido ou alterado, enquanto o restante do diretório continua funcionando normalmente.

Recursos de backup para LDAP e AD

• Backup em nível de objeto – Os plug-ins LDAP e MSAD fazem o backup de cada objeto do diretório como um item separado, em vez de capturar o banco de dados do diretório como um único arquivo. Cada objeto é armazenado em um espaço de nomes virtual no Catálogo do Bacula, prefixado com ldap: ou msad:, com a árvore de informações do diretório representada como uma estrutura de diretórios.
• Níveis de backup – Ambos os plug-ins oferecem suporte aos níveis de backup Completo, Diferencial e Incremental (as tarefas Diferenciais e Incrementais dependem da data e hora de modificação do objeto registradas no Catálogo no momento do backup).
• Modo preciso – Os plug-ins LDAP e MSAD detectam objetos excluídos entre backups comparando o diretório ativo com o Catálogo do Bacula.
• Consulta Base Única – Cada backup executa uma única consulta base a partir do parâmetro BASEDN para enumerar todos os objetos na subárvore, utilizando uma resposta de controle paginada para recuperar todos os objetos disponíveis do servidor.
• Captura Completa de Atributos – Os plug-ins salvam todos os atributos padrão e estendidos retornados pelo servidor, incluindo atributos de sistema e dinâmicos. Atributos que não podem ser restaurados posteriormente, como os de leitura exclusiva, ainda são capturados no momento do backup.
• Transporte criptografado – O plug-in LDAP se conecta ao diretório via ldaps (SSL) quando configurado. O comportamento do TLS é controlado por meio dos parâmetros TLS_CACERT, TLS_CACERTDIR, TLS_CERFILE e TLS_REQCERT no arquivo de configuração do plug-in.

Recursos de restauração de LDAP e AD

• Restauração no nível do objeto – Os objetos são restaurados apenas em um servidor LDAP ou MSAD em funcionamento. Os plug-ins não podem restaurar objetos em um sistema de arquivos local, pois os objetos de diretório armazenam seus dados como atributos, e não como conteúdo de arquivo.
• Restauração na localização original – Uma restauração executada com o parâmetro where=/ retorna os objetos à sua posição original na árvore de diretórios.
• Restauração com realocação – Uma restauração executada com um DN de realocação where= coloca os objetos em uma subárvore diferente. A realocação recupera todo o caminho da subárvore do objeto, da mesma forma que where=/tmp/restores funciona para arquivos comuns.
• Interface de opções de restauração – A opção 13 na interface de modificação de restauração expõe variáveis do plug-in que substituem o destino da restauração. A interface aceita valores diferentes para basedn, ldapuri, binddn, senha de ligação e arquivo de configuração, o que redireciona a restauração para um servidor diferente ou para um usuário de ligação diferente.

Recursos operacionais

• Listagem de objetos no console – O comando .ls exibe objetos LDAP ou MSAD diretamente no console do Bacula, utilizando os parâmetros client, plugin e path. Um caminho / exibe o contexto de nomenclatura padrão do servidor, e um caminho correspondente a um DN exibe os objetos filhos desse DN.
• Teste de FileSet – O comando de listagem de estimativa testa um FileSet antes da execução de um backup real, exibindo os objetos que o plug-in capturaria sob o BASEDN configurado.
• Configuração flexível – Os parâmetros de conexão podem ser fornecidos por meio de um arquivo de configuração específico para cada plug-in, ldap.conf ou msad.conf, ou diretamente na linha Plugin= FileSet. É possível nomear um arquivo de configuração separado para cada FileSet, a fim de direcionar os backups para diferentes servidores de diretório.
• Ofuscação de senha – A senha de ligação pode ser armazenada de forma ofuscada usando o parâmetro hbindpass. O comando @encode do bconsole gera o valor ofuscado, o que remove a senha em texto simples do arquivo de configuração.
• Conta de backup com privilégios mínimos – O plug-in requer uma conta de diretório com permissão para consultar e ler objetos. Essa pode ser uma conta padrão com a função de Operador de Backup, em vez de uma conta de administrador com privilégios totais.

Suporte a plataformas e versões

• Daemon de arquivos do Linux – Ambos os plug-ins são executados em um daemon de arquivos do Linux. O plug-in MSAD realiza o backup do Microsoft Active Directory pela rede a partir desse host Linux, e a instalação do plug-in MSAD em um Windows Server não é suportada no momento. Essa restrição poderá ser alterada em uma versão futura.
• Versões do Active Directory – O plug-in MSAD oferece suporte ao Microsoft Active Directory a partir do Windows Server 2003 e se conecta ao servidor AD utilizando o protocolo de rede LDAP.
• Compatibilidade com servidores LDAP – O plug-in LDAP funciona com qualquer diretório acessível via protocolo LDAP, incluindo OpenLDAP, Novell/SUSE eDirectory e DS389. O OpenLDAP é o servidor de referência testado, e diretórios que não sejam o OpenLDAP devem ser validados antes do uso em produção.
• Versão do Bacula Enterprise – Os plug-ins LDAP e MSAD são aplicáveis à versão 10 e posteriores do Bacula Enterprise. Os plug-ins não estão disponíveis para versões anteriores do Bacula Enterprise.

Armazenamento de backup e controle de custos

O Bacula Enterprise oferece aos administradores controle direto sobre os custos de armazenamento por meio da redução de dados e do roteamento flexível de destinos.

• Desduplicação em nível de bloco – Qualquer bloco de dados que apareça mais de uma vez no catálogo de backup é gravado no armazenamento apenas uma vez. O consumo de armazenamento diminui sem qualquer alteração na política ou na programação de backup.
• Compressão adaptativa – Os algoritmos de compressão são configuráveis por tarefa. Os administradores ajustam a compressão com base no tipo de dados e nos recursos disponíveis.
• Vários tipos de destinos de armazenamento – Os backups são gravados em disco local, NAS, SAN, bibliotecas de fitas, armazenamento de objetos na nuvem, incluindo S3, Azure e Google Cloud, ou qualquer combinação dentro de uma única política.
• Armazenamento de objetos compatível com S3 – O Bacula se conecta a qualquer provedor compatível com S3 para retenção de longo prazo, sem dependência de um único fornecedor.
• Fluxos de trabalho de armazenamento em camadas – Os dados de backup podem ser configurados para migrar automaticamente entre camadas de armazenamento à medida que envelhecem. Os pontos de recuperação acessados com frequência permanecem no armazenamento rápido, enquanto os dados mais antigos são transferidos para destinos de menor custo.
• Incremental Forever – Após um backup completo inicial, cada tarefa subsequente captura apenas o que foi alterado. Janelas recorrentes de backup completo não são mais necessárias.
• Transferências com otimização de largura de banda – Apenas os dados modificados trafegam pela rede entre as execuções de backup. A carga na rede de produção permanece baixa, sem a necessidade de limitação manual ou soluções alternativas de agendamento.

Segurança e Conformidade de Backup

A segurança e a conformidade regulatória estão integradas em todas as camadas da plataforma, desde a criptografia do transporte e do armazenamento de dados até o controle de acesso e o registro de auditorias.

• Criptografia AES-256 – A criptografia AES-256 abrange todo o caminho dos dados, desde o cliente de origem até o destino final de armazenamento. O gerenciamento de chaves é configurável para se adequar às políticas de segurança da organização.
• Cópias de backup imutáveis – O armazenamento compatível com WORM bloqueia os dados de backup contra modificações ou exclusões após a gravação. Ransomware e ameaças internas não têm acesso ao ponto de recuperação.
• Controles de acesso granulares – As permissões dos usuários se limitam a tarefas específicas, fluxos de trabalho de restauração e funções de gerenciamento. Cada administrador acessa apenas o que sua função exige.
• Auditoria completa de atividades – Cada backup, restauração e alteração de configuração é registrada com a identidade do usuário e o carimbo de data/hora. As equipes de conformidade e segurança obtêm uma trilha de auditoria completa e ininterrupta.
• Suporte ao quadro regulatório – Os controles da plataforma atendem aos requisitos do GDPR, HIPAA e SOC 2 por meio de criptografia, políticas de retenção configuráveis e registros de auditoria detalhados.
• Arquiteturas que preservam a privacidade – Opções de implantação de conhecimento zero permitem que a infraestrutura de backup seja executada sem conceder aos administradores qualquer visibilidade sobre os dados protegidos.

Gerenciamento e Administração de Backups

Duas interfaces complementares e um conjunto completo de ferramentas de gerenciamento proporcionam visibilidade e controle sobre todas as operações de backup.

• Interface Dupla – O BWeb oferece um console gráfico para o gerenciamento e monitoramento diários das tarefas. O Bconsole (agente de usuário) proporciona aos operadores controle total por linha de comando para a criação de scripts, automação e configuração avançada.
• Escalabilidade sem limites – A mesma arquitetura de plataforma gerencia ambientes que vão desde um pequeno número de servidores até implantações que chegam a milhares, tudo sob um único plano de gerenciamento.
• Descoberta automática de recursos – A plataforma varre a infraestrutura para identificar e catalogar destinos de backup automaticamente. A cobertura de proteção permanece atualizada à medida que o ambiente cresce.
• Relatórios detalhados – Relatórios programados abrangem resultados de tarefas, tendências de capacidade, status de conformidade e desempenho operacional em uma cadência definida.
• Integração com sistemas externos – O Bacula se conecta a ferramentas de monitoramento, sistemas de tickets de TI e serviços de diretório, incluindo LDAP e Active Directory. Não é necessário desenvolvimento personalizado.

Cobertura de backup em múltiplos ambientes

Servidores físicos, máquinas virtuais, contêineres e infraestrutura em nuvem estão todos abrangidos por uma única estratégia unificada de backup.

• Virtualização multiplataforma – Integração nativa com VMware vSphere, Hyper-V, KVM, Red Hat Virtualization, Xen, Azure VM, Proxmox e Nutanix AHV, com aplicação consistente de políticas em todas as plataformas.
• Convergência física e virtual – Servidores físicos, estações de trabalho e máquinas virtuais são protegidos por meio da mesma interface de gerenciamento, com políticas de backup unificadas.
• Suporte a contêineres e ambientes nativos da nuvem – Proteção completa para ambientes Docker, Kubernetes e OpenShift, com backups de volumes persistentes e instantâneos consistentes com os aplicativos.
• Integração de armazenamento em múltiplas nuvens – Suporte nativo para armazenamento em nuvem pública, privada e híbrida, incluindo interfaces S3, S3-IA, Azure, Google Cloud, Oracle Cloud e Glacier, com a funcionalidade de Custo Mínimo de Restauração (MRC)
• Integração de bancos de dados e aplicativos – Suporte a backup a quente para Oracle, SQL Server, MySQL, PostgreSQL, SAP HANA e outros aplicativos de missão crítica, com total consistência transacional.

Licenciamento previsível para backup

O licenciamento é baseado no tamanho do ambiente, e não no volume de dados. Os diretórios LDAP e Active Directory podem crescer sem acarretar custos de licenciamento mais elevados.

• Licenciamento independente do volume – O aumento da capacidade de backup não eleva as taxas de licença. Os custos de proteção de dados permanecem estáveis à medida que os volumes de dados se expandem.
• Estrutura de custos previsível – Um modelo de preços fixos permite que as equipes planejem os orçamentos de infraestrutura sem precisar levar em conta custos variáveis vinculados ao crescimento do armazenamento ou a mudanças na carga de trabalho.
• Preços independentes da carga de trabalho – Os tamanhos dos bancos de dados, o número de servidores e os volumes de armazenamento não afetam os custos de licenciamento.
• Benefícios de custo em grande escala – As organizações que protegem ambientes LDAP e Active Directory de grande porte ou em rápido crescimento pagam a mesma taxa de licença, independentemente da quantidade de dados adicionados. A vantagem de custo em relação aos concorrentes que praticam preços baseados na capacidade aumenta à medida que os volumes de dados crescem.

Recuperação e Continuidade de Negócios

Cada cenário de recuperação possui um caminho definido, desde a restauração de um único arquivo até a reconstrução completa de um local.

• Restauração “Bare Metal” no nível do sistema – O Bacula Enterprise recupera um servidor completo a partir do zero, incluindo o sistema operacional, os aplicativos, a configuração e os dados, sem a necessidade de uma instalação manual prévia.
• Transferência de dados entre plataformas – Os dados de backup podem ser recuperados em um sistema operacional diferente daquele de origem. As equipes dispõem de opções quando não há hardware equivalente disponível ou quando uma migração está em andamento.
• Replicação geográfica de backup – Os conjuntos de backup são copiados para locais de armazenamento geograficamente separados. Uma interrupção em todo o local não afeta os pontos de recuperação.
• Agendamento frequente de backup – A janela de perda potencial de dados é reduzida a minutos.
• Validação automatizada da restauração – A capacidade de recuperação é confirmada por meio de testes automatizados, sem o envolvimento do administrador ou de um processo de validação separado.