Verwalten von geschützten Computern

Im Allgemeinen können Sie die Wartung auf Dateiservern und Arbeitsstationen, die durch System Center 2012 – Data Protection Manager (DPM) geschützt sind, gemäß dem üblichen Wartungsplan und mit den vom Betriebssystem bereitgestellten Wartungstools fortsetzen.In der folgenden Tabelle sind diese Tools sowie Auswirkungen auf den Datenschutz aufgeführt.

Einmal täglich werden die Active Directory-Domänendienste von System Center 2012 – Data Protection Manager (DPM) abgefragt, um neue Computer zu ermitteln.Dieser Vorgang wird AutoErmittlung genannt.Die AutoErmittlung ist auf die Domäne eines DPM-Servers beschränkt.

Die neuen Computer werden von DPM beim nächsten Öffnen des Installations-Assistenten des Schutz-Agents oder des Assistenten zum Erstellen einer neuen Schutzgruppe für Clientcomputer aufgelistet.Um Daten auf einem neuen Computer zu schützen, müssen Sie einen Schutz-Agent auf dem Computer installieren und die Datenquellen dann einer neuen oder vorhandenen Schutzgruppe hinzufügen.

Standardmäßig wird die AutoErmittlung jeden Tag um 1:00 Uhr nachts ausgeführt.Sie können den Zeitplan für die AutoErmittlung wie folgt ändern, um die Stoßzeiten beim Netzwerkdatenverkehr oder andere Anforderungen zu berücksichtigen:

1. Klicken Sie in der DPM-Verwaltungskonsole auf Optionen.

2. Wählen Sie im Dialogfeld Optionen auf der Registerkarte AutoErmittlung die Tageszeit aus, zu der die AutoErmittlung ausgeführt werden soll. Klicken Sie dann auf OK.

In einer Active Directory-Domäne werden die Systemzeiten auf Servern entsprechend der auf den einzelnen Servern konfigurierten Zeitzone synchronisiert.Wenn von einem DPM-Server jedoch Computer geschützt werden, die sich in einer anderen Zeitzone als der DPM-Server befinden, müssen beim Planen von Aufträgen, Überprüfen von Berichten, Verwalten von Warnungen und Durchführen einer Datenwiederherstellung die Zeitunterschiede berücksichtigt werden.

Von DPM werden Aufträge zur Synchronisierung und zum Erstellen von Wiederherstellungspunkten automatisch in der Zeitzone des geschützten Computers geplant.In allen anderen Bereichen der DPM-Verwaltungskonsole werden Systemzeiten in der Zeitzone des DPM-Servers angezeigt.Obwohl Sie Aufträge so planen, dass sie in der Zeitzone des geschützten Computers ausgeführt werden, werden die Startzeiten und die Wiederherstellungspunktzeiten der Aufträge in der Zeitzone des DPM-Servers angezeigt.

Beispiel: Ihr DPM-Server befindet sich in Berlin und ein geschützter Dateiserver in Reykjavik, wo es zwei Stunden früher ist als in Berlin.Wenn Sie die Synchronisierung und den Wiederherstellungspunkt für 18:00 Uhr planen, werden die Aufträge um 18:00 Uhr Reykjavik-Zeit, der Zeit auf dem Dateiserver ausgeführt.Wenn ein Benutzer in Reykjavik die Wiederherstellung von Daten mit dem Status von 18:00 Uhr am Vortag anfordert, müssen Sie nach dem Wiederherstellungspunkt suchen, der 20:00 Uhr Berliner Zeit darstellt, da die Benutzeroberfläche der DPM-Wiederherstellung die Wiederherstellungszeiten in der Zeitzone des DPM-Servers darstellt.

Das Datum und die Uhrzeit der letzten Änderungen an der Datei, bei denen es sich um Änderungen am Inhalt oder an den Metadaten handeln kann, werden in der DPM-Verwaltungskonsole im Aufgabenbereich "Wiederherstellung" in der Spalte Zuletzt geändert angezeigt.

Für Arbeitsstunden für die Netzwerk-Bandbreiteneinschränkung wird die Zeitzone des geschützten Computers verwendet.

Ein Skript vor der Sicherung ist ein Skript, das sich auf dem geschützten Computer befindet, und vor jedem DPM-Sicherungsauftrag zur Vorbereitung der geschützten Datenquelle auf die Sicherung ausgeführt wird.

Ein Skript nach der Sicherung ist ein Skript, das nach einem DPM-Sicherungsauftrag ausgeführt wird, um Verarbeitungsvorgänge nach der Sicherung auszuführen, wie etwa einen virtuellen Computer online schalten.

Wenn Sie einen Schutz-Agent auf einem Computer installieren, wird dem Ordner "Installationspfad\Microsoft Data Protection Manager\DPM\Scripting" auf dem geschützten Computer die Datei "ScriptingConfig.xml" hinzugefügt.Sie können für jede geschützte Datenquelle auf dem Computer in der Datei "ScriptingConfig.xml" ein Skript vor der Sicherung und ein Skript nach der Sicherung angeben.

Hinweis
Bei den Skripts vor und nach der Sicherung darf es sich nicht um VBScript-Skripts handeln.Stattdessen müssen Sie für Ihr Skript, das cscript myscript.vbs enthält, einen Wrapper-Befehl verwenden.

Wenn von DPM ein Schutzauftrag ausgeführt wird, wird die Datei "ScriptingConfig.xml" auf dem geschützten Computer geprüft.Wenn ein Skript vor der Sicherung angegeben wurde, wird von DPM zuerst das Skript, dann der Auftrag ausgeführt.Wenn ein Skript nach der Sicherung angegeben wurde, wird von DPM zuerst der Auftrag, dann das Skript ausgeführt.

Hinweis
Schutzaufträge umfassen die Erstellung von Replikaten, schnelle vollständige Sicherung, Synchronisierung und Konsistenzprüfung.

Die Skripts vor und nach der Sicherung werden von DPM mithilfe des lokale Systemkontos ausgeführt.Sie sollten sicherstellen, dass die Skripts nur über Lese- und Ausführungsberechtigungen für das Administrator- und das lokale Systemkonto verfügen.Mit dieser Berechtigungsstufe wird verhindert, dass nicht autorisierte Benutzer die Skripts ändern.

ScriptingConfig.xml

<?xml version="1.0" encoding="utf-8"?>
<ScriptConfiguration xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
xmlns:xsd="http://www.w3.org/2001/XMLSchema" 
xmlns="https://schemas.microsoft.com/2003/dls/ScriptingConfig.xsd">
   <DatasourceScriptConfig DataSourceName="Data source">
     <PreBackupScript>”Path\Script Parameters” </PreBackupScript>
     <PostBackupScript>"Path\Script Parameters” </PostBackupScript>
     <TimeOut>30</TimeOut>
   </DatasourceScriptConfig>
</ScriptConfiguration>

Hinweis
Von DPM wird ein zusätzlicher boolescher Parameter (true/false) an den Befehl für das Skript nach der Sicherung angefügt, der den Status des DPM-Sicherungsauftrags angibt.

Wenn Sie den Schutz für einen geschützten Computer nicht fortsetzen möchten, können Sie den geschützten Computer mithilfe von "Remove-ProductionServer.ps1" aus DPM entfernen.Damit wird der DPM-Schutz-Agent auf dem geschützten Computer nicht deinstalliert.Sie müssen den Agent manuell deinstallieren.

Wenn Sie dieses Skript ausführen, wird der geschützte Computer aus der DPM-Datenbank (DPMDB) sowie aus den vertrauenswürdigen Gruppen "DCOMTrustedMachines" und "DPMRADMTrustedMachines" entfernt.

Remove-ProductionServer.PS1

Syntax: Remove-ProductionServer.ps1 -DPMServername [DPMServerName] -PSName [ProtectedComputerName]

Wichtig
Auf dem Computer, den Sie entfernen möchten, dürfen sich keine aktiv geschützten Datenquellen befinden.

System Center 2012 – Data Protection Manager (DPM) stellt zwei Methoden zum Synchronisieren eines Replikats bereit: inkrementelle Synchronisierung und Synchronisierung mit Konsistenzprüfung.Bei der inkrementellen Synchronisierung (auch "Synchronisierung" genannt) werden die Änderungen an den geschützten Daten von dem geschützten Computer auf den DPM-Server übertragen und dann auf das Replikat angewendet.Bei der Synchronisierung mit Konsistenzprüfung werden die Datenänderungen vom geschützten Computer auf den DPM-Server übertragen. Zudem wird auch noch eine blockweise Überprüfung durchgeführt, um sicherzustellen, dass alle Daten des Replikats mit den geschützten Daten konsistent sind.

In den folgenden Situationen kann eine manuelle Synchronisierung eines Replikats erforderlich sein:

• Sie können ein Replikat manuell synchronisieren, bevor Sie einen Wiederherstellungspunkt erstellen, um sicherzustellen, dass der Wiederherstellungspunkt den aktuellen Status widerspiegelt.Wählen Sie zu diesem Zweck die inkrementelle Synchronisierung aus.

• Sie müssen eine manuelle Konsistenzprüfung ausführen, wenn ein Replikat aufgrund eines Überlaufs des Änderungsjournals oder eines unerwarteten Herunterfahrens des geschützten Computers inkonsistent geworden ist.Für alle Aufträge zur Synchronisierung und zum Erstellen eines Wiederherstellungspunkts tritt so lange ein Fehler auf, bis die Konsistenz des Replikats durch eine Konsistenzprüfung wiederhergestellt ist.

• Wenn Sie ein Replikat manuell nicht über das Netzwerk, sondern von einem Band oder einem anderen Wechselmedium erstellen, müssen Sie vor Beginn des Datenschutzes eine Konsistenzprüfung ausführen.

• Eine manuelle Synchronisierung eines Replikats ist empfehlenswert, wenn Sie am geschützten Computer Konfigurationsänderungen wie die folgenden vornehmen:

  • Hinzufügen von Elementen oder Entfernen von Elementen aus einer Speichergruppe

  • Ändern des Dateispeicherorts geschützter Elemente auf einem geschützten Computer

Weitere Informationen über Synchronisierungsmethoden finden Sie unter Synchronization [DPM2012_Neu].

Sie können ein Replikat jederzeit löschen, wenn für das dazugehörige Schutzgruppenmitglied keine Daten mehr wiederhergestellt werden müssen.Die dazu verwendete Methode hängt davon ab, ob es sich um ein aktives oder inaktives Replikat handelt.Ein aktives Replikat ist ein Replikat, dessen Datenquelle derzeit geschützt wird.