Как безопасно вносить изменения в AD

Я работаю над изучением некоторых функций системного администратора и настройкой AD. Мне пришло в голову, что в живой/горячей среде системные администраторы могут применять изменения к серверу (серверам) AD, не задействуя живую среду?

Например... скажем, у меня есть 2 сервера AD, синхронизированных в моем домене... скажем, я хочу внести изменения в AD. Моим непосредственным примером было бы добавление атрибута, но это не лучший пример. Другим лучшим примером может быть простое применение обновлений Windows, которые иногда могут иметь негативное влияние на систему.

Суть в том, что почти невозможно вернуться к моментальному снимку или резервной копии AD, если что-то пойдет не так, особенно в реальной среде (т. е. ваше изменение приведет к сбою, как и любое восстановление). Я слышал, что некоторые организации используют второй домен (который выступает в качестве тестовой системы для AD), чтобы делать такие вещи... или, может быть, "снести его" для такого рода обслуживания - это способ (?) Может быть, я Я слишком усложняю это, но также вижу необходимость быть очень осторожным...

Вы просто должны быть осторожны.

Вот почему часто в среду тестирования вносятся изменения, чтобы убедиться, что они работают, а затем для реализации изменений используются разумные процессы управления изменениями. Обычно проводится обзор изменений, планы резервного копирования/отката и оценки рисков, если изменение влияет на действующую службу.