Aby zagwarantować użytkownikom Active Directory możliwość logowania się i dostęp do zasobów tej usługi w przypadku awarii kontrolera domeny, należy
A. zainstalować drugi kontroler domeny.
B. dodać wszystkich użytkowników do grupy administratorzy.
C. udostępnić wszystkim użytkownikom numer do Help Desk.
D. przekopiować wszystkie zasoby sieci na każdy komputer w domenie.
Pytanie z egzaminu CKE, styczeń 2016 (arkusz E.13-X-16.01).
W środowisku Active Directory zapewnienie ciągłości logowania robi się przez uruchomienie co najmniej drugiego kontrolera domeny. Kontroler domeny przechowuje kopię bazy katalogowej AD DS, obsługuje uwierzytelnianie Kerberos/NTLM, zasady grupy oraz często także usługę DNS związaną z domeną. Gdy jeden kontroler ulegnie awarii, stacje robocze i serwery mogą skorzystać z drugiego, o ile jest poprawnie skonfigurowany DNS i replikacja między kontrolerami działa bez błędów. Moim zdaniem to jedna z podstawowych dobrych praktyk w każdej firmie, nawet małej, bo pojedynczy kontroler domeny to po prostu pojedynczy punkt awarii. W praktyce drugi kontroler najlepiej umieścić na innym serwerze fizycznym albo innym hoście wirtualizacji, a przy większych lokalizacjach także w innym pomieszczeniu lub oddziale. Warto dopilnować, żeby pełnił rolę serwera DNS, miał aktualną replikę katalogu, a jeśli potrzeba, także rolę Global Catalog. Dodatkowo nadal robi się kopie zapasowe stanu systemu kontrolerów domeny i monitoruje replikację, bo sama obecność drugiego DC nie zastępuje backupu. Standardowa administracja Windows Server zwykle zakłada minimum dwa kontrolery domeny dla domeny produkcyjnej.
W Active Directory problem awarii kontrolera domeny rozwiązuje się przez nadmiarowość usług katalogowych, a nie przez obchodzenie zasad bezpieczeństwa czy ręczne kopiowanie danych. Dodanie wszystkich użytkowników do grupy administratorzy nie zwiększa dostępności domeny. Wręcz przeciwnie, tworzy ogromne ryzyko: każdy użytkownik mógłby zmieniać konfigurację systemów, instalować oprogramowanie, modyfikować uprawnienia i potencjalnie uszkodzić środowisko. To łamie zasadę najmniejszych uprawnień, która jest jedną z podstawowych zasad bezpieczeństwa IT. Z mojego doświadczenia takie myślenie często bierze się z założenia, że więcej uprawnień oznacza mniej problemów, ale w administracji siecią zwykle kończy się to chaosem. Podanie wszystkim numeru do Help Desk też nie zapewni logowania, bo pomoc techniczna może przyjąć zgłoszenie, ale nie zastąpi działającej usługi Kerberos, DNS i katalogu AD. Help Desk jest elementem organizacyjnym, nie mechanizmem wysokiej dostępności. Kopiowanie zasobów sieciowych na każdy komputer również nie rozwiązuje sprawy, bo Active Directory to nie tylko pliki. To centralna baza kont, grup, zasad GPO, relacji zaufania i mechanizmów uwierzytelniania. Takie kopiowanie powodowałoby niespójność danych, problemy z aktualizacją plików i bałagan z uprawnieniami NTFS oraz udziałami. Typowy błąd polega tu na pomyleniu dostępności zasobów plikowych z dostępnością usługi katalogowej. Dobre rozwiązanie to drugi kontroler domeny, poprawna replikacja, DNS na więcej niż jednym serwerze, regularne kopie zapasowe i monitoring stanu AD.