Zálohování AD serveru (Active Directory) běžícího v LXC nebo VM prostředí musí být provedeno pečlivě, protože jde o kritický systém pro autentizaci a správu celé sítě. Následuje rozbor možností, jak jej bezpečně zazálohovat, s ohledem na konzistenci dat a obnovitelnost:

🔐 Co je důležité chránit

1. Active Directory databáze – NTDS.DIT (včetně SYSVOL)

2. Konfigurace systému (registry, služby)

3. Replikace – pokud je více DC, myslet na replikaci a FSMO role

4. Časová synchronizace – obnova může rozhodit čas (Kerberos!)

🛠 Možnosti zálohování

✅ 1. Záloha pomocí Windows nástrojů (VSS, Windows Server Backup)

• Výhoda: Garantuje konzistentní zálohu pomocí VSS (Volume Shadow Copy)

• Jak:

  • wbadmin start systemstatebackup -backupTarget:D:

• Doporučeno: jako pravidelná záloha zevnitř VM

✅ 2. Zastavení služby AD (NTDS) + LXC/VM snapshot

• Výhoda: Snapshot je konzistentní, pokud je AD služba zastavena

• Postup:

  1. net stop ntds – pozastaví Directory Services

  2. Vytvořit snapshot LXC/VM

  3. net start ntds – opětovné spuštění

• Pozor: DC bude během chvíli mimo provoz

⚠️ 3. Snapshot „za běhu“ (bez zastavení)

• VM (KVM, Proxmox, VMWare): Pokud hostitel podporuje live snapshot s VSS integrací, lze použít – ale musí být správně nastaveny guest tools

• LXC: nedoporučeno bez pauznutí kontejneru

• Riziko: nekonzistentní snapshot (např. rozbitý NTDS.DIT)

✅ 4. Pauznutí LXC nebo zastavení VM

• LXC:

  • lxc-freeze -n nazev → snapshot → lxc-unfreeze -n nazev

• VM:

  • „Pause“ nebo „Shutdown“ – a vytvoření snapshotu

• Výhoda: rychlé a bezpečné, pokud nevadí krátký výpadek

✅ 5. Replikační DC + Snapshot sekundárního DC

• Nejbezpečnější varianta:

  • Mít více DC → snapshot jednoho z nich

  • V případě obnovy: smazat poškozený DC → nový ze zálohy → replikace

🧩 Shrnutí podle prostředí

🎯 Doporučený scénář (produkční prostředí):

1. Mít minimálně 2 DC (replikace)

2. Provádět vnitřní backup pomocí Windows nástrojů (System State Backup)

3. Snapshoty provádět jen na sekundárním DC nebo po zastavení služby AD

4. Zálohu testovat (obnova do testovací VM)

Chceš, abych připravil konkrétní skript pro snapshot + zastavení služby pro LXC nebo Proxmox?

Díky za screenshot – jedná se o zálohovací dialog v Proxmoxu pro LXC kontejner (CT 124), konkrétně pro tvůj AD server. Klíčový je výběr režimu zálohování. Vysvětlím, co znamenají jednotlivé možnosti a která je nejbezpečnější pro Active Directory.

🔧 Možnosti zálohování v Proxmoxu (Režim)

✅ Doporučení pro zálohování Active Directory v LXC (Proxmox):

1. Zvol režim „Zastavit“ – LXC se vypne → udělá se snapshot → pak se znovu spustí.

   • Výpadek pár sekund až minut, ale garantovaná konzistence (AD databáze, SYSVOL atd.)

   • Pokud máš více DC, zálohuj ten, který není FSMO master (pokud možno).

2. (Volitelně) Před zálohou automaticky vypni jen službu AD (NTDS) – např. přes skript, pokud nechceš zastavovat celý kontejner. Ale pro LXC je „Zastavit“ jednodušší a spolehlivější.

💡 Tip:

Pokud zálohuješ více DC, zálohuj jen sekundární DC. V případě obnovy pak nedojde ke konfliktu replikace nebo FSMO rolí.

Chceš i automatizační skript (např. vzdáleně přes pct zastavit, zálohovat a znovu spustit)? Nebo jen ruční klikání?

Zálohování primárního doménového řadiče (DC) – tedy toho, který drží FSMO role – musí být provedeno velmi opatrně, protože jde o klíčový uzel celé domény. Špatně provedená záloha nebo obnova může způsobit poškození replikace, USN rollback, nebo FSMO konflikty.

✅ Cíl: Zálohovat primární DC bezpečně a konzistentně

🔐 Možnosti, jak zálohovat primární DC (FSMO)

🥇 Doporučený způsob – zevnitř systému

Použij zálohování zevnitř Windows Serveru pomocí nástroje:

• System State Backup obsahuje:

  • NTDS (AD databázi)

  • SYSVOL

  • Registry

  • Certifikační služby (pokud běží)

  • FSMO role (uložené v AD)

• Výhodou je 100% konzistence díky využití VSS (Volume Shadow Copy)

💡 Tuto zálohu můžeš provádět i pravidelně skriptem nebo úlohou ve Windows Task Scheduler.

✋ Co NEdělat u primárního DC

📦 Jak případně zálohovat přes Proxmox (sekundárně)

Pokud musíš použít zálohu přes Proxmox (např. snapshot celé LXC/VM), dodrž:

1. Zastav Windows službu Active Directory uvnitř systému:

    

   net stop ntds


2. Poté v Proxmoxu spusť zálohu s režimem Zastavit

3. Po záloze:

    

   net start ntds


Alternativně:

• Zastav celý kontejner přes Proxmox („Zastavit“ režim zálohy)

• Po záloze znovu spusť

🎯 Tato metoda je bezpečnější než snapshot za běhu, ale stále méně ideální než System State Backup.

🔁 Obnova primárního DC

Pokud někdy budeš obnovovat:

1. Odpoj síť – nedovol mu replikovat okamžitě

2. Zkontroluj FSMO role a čas

3. Proveď kontrolu AD pomocí:

    

   dcdiag /v
repadmin /replsummary


4. Po ověření obnov připojení k síti

🧠 Shrnutí

Chceš připravit PowerShell skript pro plánované system state zálohy a ukládání třeba na síťový disk nebo externí LUN?

Ano, tvůj přístup je v zásadě správný – pokud provedeš vypnutí LXC/VM (tedy úplné zastavení systému), pak uděláš zálohu v režimu „Zastavit“ (což v Proxmoxu znamená, že kopíruješ disk v offline stavu), tak získáš konzistentní, bezpečnou zálohu.

Ale protože se jedná o Active Directory doménové řadiče, je nutné brát v úvahu některé jemnější detaily, hlavně ohledně replikace a časové posloupnosti (USN).

✅ Tvůj scénář: krok za krokem

Předpoklad: máš 2 doménové řadiče (např. DC1 = primární, DC2 = sekundární)

Postup:

1. Vypneš DC2 (sekundární)

2. Uděláš zálohu DC2 (LXC/VM v Proxmoxu – režim „Zastavit“)

3. Vypneš DC1 (primární)

4. Uděláš zálohu DC1 (opět „Zastavit“)

5. Spustíš zpět DC1

6. Po jeho plném naběhnutí a stabilizaci (zkontroluješ v dcdiag, repadmin) spustíš DC2

✅ Výsledek:

• Oba DC byly zálohované ve vypnutém stavu → databáze NTDS.DIT je konzistentní

• Replikace nebude poškozena, pokud:

  • Nedošlo k žádné změně mezi zálohami

  • Obnova proběhne ve stejném pořadí (DC1 → DC2)

⚠️ Na co si dát pozor

🧠 Shrnutí

🛠 Doporučení navíc

• Po obnově spusť kontrolu:

   

  dcdiag /v
repadmin /replsummary


• Uvažuj o pravidelné System State záloze i uvnitř Windows (navíc k VM záloze)

• Měj jeden DC čistě jako replikační zálohu (ne FSMO) → můžeš jej bez obav snapshotovat nebo smazat

Chceš připravit konkrétní kontrolní seznam/postup pro případ obnovy domény ze zálohy krok za krokem?

✅ Přesně tak!
Tvůj popsaný postup je správný a bezpečný pro zálohování Active Directory doménových řadičů běžících v LXC/VM:

🧩 Postup pro bezpečnou zálohu domény (2× DC)

1. 🔻 Vypni DC2 (sekundární)

   • Tím zastavíš případné změny a replikaci

2. 🔻 Po vypnutí DC2, vypni DC1 (primární)

   • Nyní máš jistotu, že AD databáze jsou „zmrazené“ a nebude docházet ke změnám

3. 💾 Vytvoř zálohy v Proxmoxu pro oba DC

   • Režim: Zastavit (tedy stroj je úplně vypnutý)

   • Doporučuju nejdřív zazálohovat DC2 (už je vypnutý), pak DC1

4. 🔼 Spusť DC1 (primární)

   • Počkej, až plně naběhne – ověř, že běží NTDS, DNS, časová synchronizace atd.

5. 🔼 Spusť DC2 (sekundární)

   • Po startu se začne replikovat s DC1, vše bude v pořádku

✅ Výhody tohoto postupu

• Zálohuješ v plně konzistentním stavu

• Žádné riziko replikace nebo USN rollback

• Obnovit můžeš jednotlivě nebo oba, bez obav

📋 Kontrolní testy po záloze/obnově

Po startu obou DC doporučuji ověřit:

A zkontroluj, že:

• DNS funguje

• Čas je synchronizovaný (w32tm /query /status)

• Replikace probíhá bez chyb

Pokud budeš chtít, můžu ti připravit:

• 🔁 Obnovovací postup (krok za krokem)

• 💾 PowerShell skript pro System State Backup

• 🛡️ Kontrolní checklist po záloze/obnově

Stačí říct.

Super – pojďme to vzít poctivě a prakticky:

💾 System State Backup (PowerShell skript)

Zálohujeme Active Directory zevnitř Windows Serveru (AD DC), pomocí nativního nástroje wbadmin.

✅ 1. PowerShell skript pro System State Backup

📝 Poznámky:

• Záloha může zabrat 2–10 GB (i více), podle rozsahu AD.

• Uložení na síťový disk? → Předem připoj síťový disk jako jednotku, nebo použij UNC cestu.

🔁 2. Jak obnovit AD ze System State zálohy

💡 Obnovu System State prováděj pouze, když je to nutné (např. selhání, korupce AD, hardware).

⚠️ Obnova je citlivá – následuj přesný postup:

🛑 Před obnovou:

• Odpoj doménový řadič od sítě (fyzicky nebo vypnutím síťovky v recovery)

• Obnova se musí dělat offline, jinak riskuješ USN rollback nebo replikace neplatných dat

🧰 Možnosti obnovy:

🔧 Varianta A – z prostředí Windows Recovery (doporučeno)

1. Bootuj do Windows Recovery Environment (WinRE) nebo použij instalační ISO → Repair your computer

2. Zvol: Command Prompt

3. Spusť obnovu:

    

   wbadmin get versions -backuptarget:E:


   → zobrazí dostupné zálohy

   Pak spusť:

    

   wbadmin start systemstaterecovery -version:<ID> -backuptarget:E: -quiet


   💡 <ID> je např. 10/16/2025-14:00

4. Po dokončení:

   • Restartuj

   • Stále drž doménový řadič mimo síť!

   • Po naběhnutí zkontroluj:

      

     dcdiag /v


   • Teprve pak připoj zpět do sítě

🔧 Varianta B – z běžícího systému (jen výjimečně)

Tohle dělej jen ve výjimečných případech, ideálně na testovacím DC, nikdy na primárním DC připojeném do domény!

🧠 Důležité tipy po obnově

🔐 Obnovený DC a replikace

• Pokud obnovíš primární DC, spusť jako první jeho

• Ostatní DC musí být zachované nebo znovu připravené jako čisté repliky – nikdy neobnovuj všechny DC naráz z různých záloh!

Chceš ještě:

• Skript pro automatickou zálohu se správou starých verzí?

• Postup na obnovu do nové VM v případě fatálního selhání?