В онлайн-режиме (online) создается резервная копия актуальной базы данных, не привязанная к состоянию конкретного контроллера домена.

Данный вид резервного копирования подходит в том случае, если требуется оперативно получить работоспособную долгосрочную или постоянную замену вышедшему из строя домену без детального изучения причин возникновения проблем в работе службы каталогов.

Для создания резервной копии в онлайн-режиме используется команда:

# samba-tool domain backup online \
 --targetdir=<output-dir> \
 --server=<DC-server> \
 -UAdministrator

Эту команду можно запустить как локально на контроллере домена, так и удалённо на другом узле. При удалённом запуске рекомендуется указать параметр --configfile, чтобы включить в резервную копию корректный smb.conf (локальный файл smb.conf может отличаться или отсутствовать).

Пример создания онлайн-резервной копии на контроллере домена:

# mkdir /var/samba-backup-online
# samba-tool domain backup online --targetdir=/var/samba-backup-online --server=dc1 -UAdministrator

Password for [TEST\Administrator]:
workgroup is TEST
realm is test.alt
Looking up IPv4 addresses
Looking up IPv6 addresses
Setting up share.ldb
Setting up secrets.ldb
Setting up the registry
Setting up the privileges database
Setting up idmap db
Setting up SAM db
Setting up sam.ldb partitions and settings
Setting up sam.ldb rootDSE
Pre-loading the Samba 4 and AD schema
A Kerberos configuration suitable for Samba AD has been generated at /var/samba-backup-online/tmpxqc6dwts/private/krb5.conf
Merge the contents of this file with your system krb5.conf or replace it with this one. Do not create a symlink!
…
Creating backup file /var/samba-backup-online/samba-backup-test.alt-2025-06-17T14-01-36.253494.tar.bz2...

В автономном режиме (offline) резервная копия создаётся напрямую из локальных файлов контроллера домена, на котором выполняется команда.

Данный вид резервного копирования оптимален для изучения причин возникновения проблем в работе службы каталогов, так как в этом режиме в резервную копию включаются дополнительные данные, как правило, не подлежащие реплицированию. В больших доменах на создание такой резервной копии требуется меньше времени, поскольку исключаются временные затраты на передачу данных из базы данных службы каталогов по сети и запись их на локальный диск. Однако следует учитывать, что при копировании базы данных с диска потенциально повышается риск попадания в резервную копию ошибочных данных.

Команда создания автономной резервной копии:

# samba-tool domain backup offline --targetdir=<output-dir>

Пример создания автономной резервной копии на контроллере домена:

# mkdir /var/samba-backup-offline
# samba-tool domain backup offline --targetdir=/var/samba-backup-offline

running backup on dirs: /var/lib/samba/private /var/lib/samba /etc/samba
Starting transaction on /var/lib/samba/private/secrets
Starting transaction on /var/lib/samba/private/sam.ldb
   backing up /var/lib/samba/private/sam.ldb

…
   adding misc file etc/lmhosts
   adding misc file etc/smb.conf
Backup succeeded.

Восстановление из резервной копии — это пересоздание домена на основе сохранённого состояния.

Этапы восстановления:

Этап восстановления из файла резервной копии аналогичен разворачиванию домена, который выполнялся при первой настройке сети Samba, за исключением того, что резервная копия содержит в себе все объекты базы данных, которые были добавлены с момента создания домена. Как и при создании нового домена, при запуске команды восстановления домена потребуется указать новый контроллер домена. Новый контроллер домена не должен существовать в сети.

Команда восстановления домена из резервной копии:

# samba-tool domain backup restore \
 --backup-file=<tar-file> \
 --newservername=<DC-name> \
 --targetdir=<new-samba-dir>

где

Целевой каталог должен быть пустым или не должен существовать. Не рекомендуется восстанавливать базу данных домена в место установки по умолчанию (например, в каталог /var/lib/samba). Вместо этого рекомендуется восстановить базу данных домена в другой целевой каталог, а затем, при запуске samba, использовать параметр -s (или --configfile), например:

# samba -s <targetdir>/etc/smb.conf

Это гарантирует, что Samba будет использовать восстановленные файлы базы данных, а не системные.

Восстановленный контроллер домена будет добавлен в сайт Default-First-Site-Name. Если он не существует — будет создан автоматически. Указать альтернативный сайт можно с помощью параметра --site.

Перед запуском службы каталогов на восстановленном контроллере домена следует еще раз проверить корректность восстановленного файла smb.conf.

Пример восстановления данных из резервной копии:

# mkdir /var/lib/samba/new
# samba-tool domain backup restore \
 --backup-file=/home/user/samba-backup-test.alt-2025-06-17T14-01-36.253494.tar.bz2 \
 --newservername=newdc \
 --targetdir=/var/lib/samba/new

Adding new DC to site 'Default-First-Site-Name'
Updating basic smb.conf settings...
…
Backup file successfully restored to /var/lib/samba/new
Please check the smb.conf settings are correct before starting samba.

Команда для создания переименованной резервной копии:

# samba-tool domain backup rename <new-netbios> <new-dns-realm> \
 --server=<dc-to-backup> \
 --targetdir=<output-dir> \
 --no-secrets \
 -UAdministrator

где

Пример создания переименованной резервной копии на контроллере домена:

# mkdir /var/samba-backup-rename
# samba-tool domain backup rename NEWTEST newtest.alt \
 --server=dc1 \
 --targetdir=/var/samba-backup-rename \
 --no-secrets \
 -UAdministrator

New realm for backed up domain: newtest.alt
New base DN for backed up domain: DC=newtest,DC=alt
New domain NetBIOS name: NEWTEST
Password for [TEST\Administrator]:
Provisioning the new (renamed) domain...
…

Файл резервной копии сохраняется как /var/samba-backup-rename/samba-backup-newtest.alt-<timestamp>.tar.bz2.

В случае, если команда создания резервной копии запускается на узле, который будет использоваться в качестве нового контроллера домена (он должен быть подключён к рабочему домену), рекомендуется иметь файл smb.conf, максимально соответствующий производственному контроллеру домена, и передать его команде резервного копирования (с помощью параметра --configfile=smb.conf). Это гарантирует, что резервная копия будет содержать smb.conf, точно соответствующий домену.

Если команда создания резервной копии запускается на другом узле, (например, на рабочем контроллере домена), необходимо скопировать сгенерированный файл резервной копии на узел, который будет использоваться в качестве нового контроллера домена.

Файл резервной копии /var/samba-backup-rename/samba-backup-newtest.alt-<timestamp>.tar.bz2 может использоваться для восстановления клонированной и переименованной базы данных на диске. В восстановленном домене будет только один новый контроллер домена с именем, указанными с помощью опции --newservername. В последующем к нему могут быть присоединены другие контроллеры домена. Для указания нового каталога для размещения всех файлов службы каталогов (smb.conf, sam.ldb и т. п.) может использоваться опция --targetdir.

Команда восстановления домена из резервной копии:

# samba-tool domain backup restore \
 --backup-file=<tar-file> \
 --newservername=<DC-name> \
 --targetdir=<new-samba-dir>

где

Пример восстановления:

# mkdir /var/lib/samba/newtest
# samba-tool domain backup restore \
 --targetdir=/var/lib/samba/newtest \
 --newservername=NEWDC1 \
 --backup-file=/home/user/samba-backup-test.alt-2025-06-17T14-01-36.253494.tar.bz2

При восстановлении домена из резервной копии пароль учётной записи администратора сбрасывается на случайно сгенерированный. Для его изменения можно просто обновить базу данных на локальном диске, выполнив команду:

# samba-tool user setpassword Administrator \
 --newpassword=<пароль> \
 -H /var/lib/samba/newtest/private/sam.ldb

Для тестирования аутентификации пользователей можно либо добавить дополнительные «тестовые» учётные записи (пользователей или машин), либо использовать учётные записи, скопированные из исходного домена.

# samba-tool user setpassword ivanov \
 --newpassword=Pa$$word \
 -H /var/lib/samba/newtest/private/sam.ldb

Перед запуском службы каталогов на новом контроллере домена, рекомендуется проверить корректность настроек в восстановленном файле smb.conf (например, /var/lib/samba/newtest/etc/smb.conf) и в файле /etc/krb5.conf, и при необходимости вручную внести в них изменения.

При запуске службы каталогов необходимо указать восстановленный smb.conf. Например:

# samba -s /var/lib/samba/newtest/etc/smb.conf

Это гарантирует, что Samba использует восстановленные файлы базы данных, а не системные по умолчанию.

При первом запуске может появиться сообщение об ошибках DNS. Это нормально — Samba автоматически запускает samba_dnsupdate для регистрации DNS-записей нового домена. Ошибки исчезнут после завершения процесса инициализации.

После запуска samba можно проверить правильность работы нового контроллера домена, например, выполнив команду:

# ldbsearch -H ldap://NEWDC1 -UAdministrator

Успешный вывод означает, что:

Восстановленный домен сохраняет все сайты и подсети исходного домена. Однако, поскольку новые контроллеры находятся в другой сети — подсети, привязанные к сайтам, могут быть некорректны.

Рекомендуемые действия: Это обеспечит корректную работу репликации, обнаружения служб и групповых политик.