Systeme und Verzeichnisdienste: Identität, Server, Backups

Systemadministration ist die Arbeit, Maschinen, Konten und Daten in einem Zustand zu halten, in dem das Unternehmen sie ignorieren darf. Dazu gehören die Identität, die Server, die sie tragen, die Überwachung, die meldet, dass sich etwas bewegt hat, und die Sicherung, die darüber entscheidet, wie schlimm ein schlechter Tag wird. Die Teile zu kaufen ist einfach. Sie gemeinsam zu betreiben ist die Disziplin.

Denken Sie an ein Gebäude statt an ein Rack. Es gibt einen Empfang, der weiß, wer hier arbeitet und welche Türen ein Ausweis öffnet; alles andere im Haus vertraut diesem Empfang. Es gibt Maschinen im Keller, die Wärme und Wasser liefern: langweilig, bis sie ausfallen. Es gibt einen Hausmeister, der jeden Morgen die Zähler abliest und eine steigende Zahl bemerkt, bevor jemand Rauch riecht. Und es gibt einen Fluchtweg, den jahrelang niemand benutzt und dann alle gleichzeitig — genau so viel wert wie die letzte Prüfung, ob er sich öffnen lässt.

Dieser Leitfaden ist die Karte. Jeder Abschnitt sagt, was ein Teil der Umgebung leistet, wo er in der Praxis schiefgeht und wo es tiefer geht. Zwei Teile haben eigene Artikel: Monitoring und Alarmierung für die Entscheidung, was überhaupt beobachtet gehört, und die 3-2-1-Regel für den Fluchtweg.

Der Verzeichnisdienst ist der Boden

Ein Verzeichnisdienst beantwortet für jedes andere System dieselbe Frage: Wer ist das, und was darf diese Person? Wenn er existiert, meldet sich eine Mitarbeiterin einmal an und erreicht Dateifreigabe, Drucker und Fachanwendung, ohne dass eines dieser drei Systeme eine eigene Benutzerliste führt. Wenn er fehlt, führen sie genau das — und die Listen widersprechen sich binnen eines Monats.

Die Kosten sichtbar werden sie erst beim Austritt. Mit zentraler Identität beendet das Deaktivieren eines Kontos den Zugriff überall im selben Moment. Ohne sie endet der Zugriff dort, wo jemand nachgesehen hat, und das ist nie überall. Die übrig gebliebenen Konten sind jene, die zwei Jahre später in einem Vorfallbericht auftauchen.

Zwei Abhängigkeiten sind dabei unsichtbar und für die meisten Störungen verantwortlich. Die erste ist die Namensauflösung: Domänenmitglieder finden ihre Domänencontroller über DNS, nicht über eine Adresse. Ein Client, der auf einen öffentlichen Resolver zeigt, fragt den falschen Server und meldet das Ergebnis als Anmelde-, Richtlinien- oder Freigabeproblem. Die zweite ist die Uhr: Weicht sie zu weit ab, werden Tickets verweigert, und die Fehlermeldung erwähnt die Zeit mit keinem Wort.

Die Server darunter

Die meisten kleinen Umgebungen sind gemischt, und die Aufteilung folgt der Last, nicht der Vorliebe. Identität, Gruppenrichtlinien, Dateidienste und Windows-Anwendungen liegen auf Windows Server. Überwachung, Protokollsammlung, Proxys und der Großteil quelloffener Infrastruktur liegen auf Linux, wo sie günstiger zu betreiben und leichter zu automatisieren sind. Beides ist normal; nicht normal ist, eines von beiden ohne eine benannte Person zu betreiben, die es patcht.

Eine Anmerkung zur Virtualisierung, weil sie unter allem liegt: Fast jede Last in einer kleinen Umgebung gehört auf einen Hypervisor und nicht auf eigene Hardware. Die Ausnahmen sind eine kurze Liste statt eines Prozentsatzes — GPU-lastige Arbeit, spezialisierte Medienverarbeitung, an Hardware gebundene Lizenzanker und Latenzanforderungen, die vertraglich festgehalten sind. Liegt keine dieser vier auf dem Tisch, ist die Diskussion zugunsten der Virtualisierung entschieden.

Hinsehen: Zahlen und Ereignisse

Überwachung ist kein Werkzeug, das man installiert, sondern eine Entscheidung darüber, was Sie wissen müssen und wie schnell. Diese Entscheidung kommt zuerst und dauert länger als die Installation — deshalb behandelt Monitoring und Alarmierung sie getrennt.

Die Form der Daten ist dabei entscheidend. Zahlen entstehen durch Abfragen in festen Intervallen und ergeben Kurven; Kurven zeigen Entwicklungen, etwa den Uplink, der seit drei Wochen jeden Nachmittag an seine Grenze läuft. Ereignisse kommen in dem Moment, in dem etwas passiert, und zeigen Zeitpunkte: ein Port ausgefallen, eine Anmeldung gescheitert, eine Konfiguration um 02:14 geändert. Wer nur eines von beidem sammelt, verbirgt die Hälfte jedes Vorfalls — und meist die Hälfte, die die andere erklärt.

Eine unbequeme Regel hält das nutzbar: Ein Alarm, auf den niemand reagiert, gehört gelöscht oder zu einer Grafik herabgestuft. Alarme ohne Konsequenz erziehen Menschen dazu, den Kanal zu ignorieren, und ein ignorierter Kanal ist schlimmer als keiner, weil er wie Abdeckung aussieht.

Behalten, was Sie betreiben

Sicherungen sind der Fluchtweg, und die einzige Frage, die zählt, ist, ob er sich öffnen lässt. Ein Sicherungsauftrag, der Erfolg meldet, beweist, dass Daten geschrieben wurden. Er beweist nicht, dass sie zurückkommen. Das beweist ausschließlich eine Wiederherstellung.

Die 3-2-1-Regel ist die Ausgangsform: drei Kopien, zwei Medientypen, eine außer Haus. Sie hat sich gehalten, weil jede Zahl einen anderen Ausfall beantwortet — Löschung, Medienfehler und das Gebäude. Gegen Ransomware sind zwei Terme hinzugekommen: eine Kopie, die nach dem Schreiben nicht mehr verändert werden kann, und null Fehler bei einem Wiederherstellungstest, der einen Nachweis hinterlassen hat.

Die Aufbewahrung gehört in dasselbe Gespräch und ist nach DSGVO nicht optional. Sicherungen und Protokolle mit Personenbezug brauchen eine Frist, die festgelegt, dokumentiert und durchgesetzt ist. Alles für immer aufzuheben fühlt sich sicher an und ist das Gegenteil: Es vergrößert den Schaden jedes Vorfalls und lässt sich niemandem erklären, der fragt, warum das Postfach einer vor vier Jahren ausgeschiedenen Person noch existiert.

Was tatsächlich ausfällt

Vier Muster erklären die meisten Störungen in Umgebungen dieser Größe, und keines davon ist exotisch.

Zeitabweichung. Kerberos verweigert Tickets mit zu großer Abweichung, und keine Meldung nennt die Uhr. Eine autoritative Zeitquelle, auf die alles zeigt.

Eine Maschine mit drei Aufgaben. Der Host, auf dem Domänencontroller, Dateifreigabe und Sicherungsziel zusammenliegen, ist ein Single Point of Failure, der nie entschieden, sondern angesammelt wurde.

Niemand benannt. Patches, Sicherungsprüfung und Zertifikatsabläufe scheitern nicht an Uneinigkeit, sondern am fehlenden Verantwortlichen. Jede wiederkehrende Aufgabe braucht einen Namen, kein Team.

Nie getestete Wiederherstellung. Das ist der Ausfall, der aus einem Vorfall eine Krise macht, und der am billigsten zu verhindernde. Ein Test kostet einen Nachmittag.

Fazit: Betrieb ist eine Gewohnheit, kein Kauf

Jeder Abschnitt dieses Leitfadens beschreibt Wartung, nicht Errichtung. Der Verzeichnisdienst ist nicht fertig, wenn er installiert ist; er ist korrekt, solange Konten beim Austritt entfernt werden. Überwachung ist nicht fertig, wenn Grafiken erscheinen; sie ist nützlich, solange jemand sie liest. Sicherungen sind nicht fertig, wenn der Auftrag grün wird; sie sind real, solange eine Wiederherstellung kürzlich genug getestet wurde, um daran zu glauben.

• Identität: Ein deaktiviertes Konto beendet den Zugriff überall, und Sie können es vorführen.
• Namensauflösung: Jedes Domänenmitglied fragt interne Server, mit bewusst gesetzten Weiterleitungen.
• Zeit: Eine Quelle, alle Geräte darauf gerichtet.
• Server: Für jeden gibt es eine benannte Person und eine Notiz, was von ihm abhängt.
• Überwachung: Jeder Alarm hat einen Verantwortlichen, und die Alarme, die auslösen, führen zu Handlungen.
• Sicherung: Drei Kopien, zwei Medien, eine außer Haus, eine unveränderlich, und ein datierter Wiederherstellungstest mit Nachweis.