Cómo guardar su tocino con la papelera de reciclaje de Active Directory

Si eliminó accidentalmente un usuario, computadora o unidad organizativa de Active Directory, ¿sabía que puede recuperarlo? Si está habilitada, la papelera de reciclaje de Active Directory puede ayudarlo a recuperar ese objeto AD.

En este artículo, aprenderá cómo habilitar y restaurar objetos en poco tiempo con la papelera de reciclaje de Active Directory.

Si necesita un servicio con todas las funciones para realizar copias de seguridad y restaurar fácilmente objetos de Active Directory y mucho más, consulte Veeam Backup & Replication.

¿Cómo funciona la papelera de reciclaje en Active Directory?

Cuando habilita la papelera de reciclaje, le indica a AD que no elimine objetos inmediatamente de la base de datos de AD. Hay dos etapas que ocurren cuando elimina un objeto AD.

Objetos eliminados lógicamente

En el momento en que elimina un objeto AD, puede considerar ese objeto eliminado "lógicamente". Cuando un objeto se elimina "lógicamente", en realidad no se elimina de la base de datos de AD. En su lugar, simplemente se oculta y se mueve al contenedor CN=Deleted Objects y el atributo isDeleted se establece en TRUE en el objeto.

La cantidad de tiempo que se puede recuperar un objeto eliminado lógicamente se establece mediante el atributo msDS-deletedObjectLifetime. El valor predeterminado es el mismo número de días que la vida útil de Tombstone, que por defecto es 180 días.

Reciclaje de lápidas

Una vez que el objeto eliminado lógicamente excede la vida útil del objeto eliminado definida por el atributo msDS-deletedObjectLifetime, el objeto se considera desechado. En este punto, el objeto no es recuperable.

Una vez superado el tiempo msDS-deletedObjectLifetime, el atributo isRecycled se establece en TRUE y el atributo isDeleted permanece VERDADERO. La vida útil del desecho comienza entonces con un valor predeterminado de 180 días.

Una vez que el objeto AD excede la vida útil del desecho, el objeto se elimina físicamente de la base de datos mediante la recolección de basura.

Habilitar la Papelera de reciclaje con ADAC

De forma predeterminada, la papelera de reciclaje de AD no está habilitada. Para utilizar esta práctica función, debe habilitarla manualmente. ¡No lo olvides hasta que sea demasiado tarde!

Para habilitar la papelera de reciclaje:

1. Navegue hasta el Centro administrativo de Active Directory (ADAC), ya sea en su estación de trabajo unida a un dominio o en un controlador de dominio.
2. Haga clic en el dominio ubicado en el lado izquierdo y busque el menú Tareas en el lado derecho.
3. Haga clic en la opción Habilitar papelera de reciclaje para habilitar la papelera de reciclaje como se muestra a continuación.

Luego, ADAC le solicitará una confirmación para habilitar la papelera de reciclaje.

Dependiendo del tamaño de su dominio, puede llevar algún tiempo propagar la configuración.

Después de una actualización, debería ver que la opción Habilitar papelera de reciclaje ahora está atenuada.

Habilitar la papelera de reciclaje de Active Directory con PowerShell

Si, por algún motivo, necesita automatizar la habilitación de la papelera de reciclaje, siempre puede hacerlo con PowerShell y el cmdlet Enable-ADOptionalFeature.

A continuación se muestra un fragmento de código que puede usar para habilitar la papelera de reciclaje mientras está en PowerShell. El siguiente ejemplo habilita la papelera de reciclaje a nivel de bosque para el bosque ad.lc-test.local.

$Params = @{
  "Identity" = 'Recycle Bin Feature'
  "Scope"    = 'ForestOrConfigurationSet'
  "Target"   = 'ad.lc-test.local'
}

Enable-ADOptionalFeature @Params

Recuperar objetos con la papelera de reciclaje de Active Directory (ADAC)

Una vez que hayas habilitado la papelera de reciclaje, ¡ahora podrás aprovecharla! Primero comencemos usando ADAC.

Después de haber eliminado un objeto pero antes de que caduque la vida útil del desecho:

1. Navegue hasta el contenedor Objetos eliminados en ADAC. Este contenedor contiene todos los objetos eliminados de Active Directory.

2. A continuación, ubique el objeto a restaurar. En este caso, buscamos el objeto TestUser2. En el menú Tareas de la derecha, hay cuatro opciones.

• Restaurar: restaura el objeto a su unidad organizativa (OU) original.
• Restaurar en…: en lugar de restaurar el objeto a la ubicación original, elija una unidad organizativa diferente para restaurar el objeto.
• Ubicar padre: esta opción lo llevará directamente a la unidad organizativa en la que se encontraba el objeto.
• Propiedades: vea propiedades muy limitadas, como Modificado, Creado, Clase de objeto, Nombre canónico o Números de secuencia de actualización (USN).

En este ejemplo, restauraremos el objeto a su unidad organizativa original ubicada en los contenedores de Usuarios.

3. Al hacer clic en el botón Restaurar, como puede ver a continuación, el objeto ahora vuelve a estar bajo la unidad organizativa Usuarios.

Recuperar objetos con la papelera de reciclaje de Active Directory (PowerShell)

Por muy útil que sea esa técnica, a menudo es incluso más fácil y más programable usar PowerShell para realizar las mismas tareas que se realizan con la GUI. Para restaurar un objeto AD con PowerShell:

1. En una computadora unida a un dominio o en un controlador de dominio, abra PowerShell y busque un objeto eliminado. Asegúrese de tener instalado el módulo ActiveDirectory.

Relacionado: Cómo instalar el módulo Active Directory

2. Localice los objetos que desea eliminar con el comando Get-ADObject.

Relacionado: Get-ADObject: Generación de informes en Active Directory con PowerShell

Puede encontrar el objeto de diferentes maneras, pero utilice siempre el parámetro IncludeDeletedObjects. Este parámetro es necesario para encontrar todos los objetos en el contenedor de Objetos eliminados.

Si ejecuta Get-ADObject solo usando un filtro amplio como -Filter *, verá un montón de resultados innecesarios. Para apuntar solo a aquellos resultados que deberían estar en la papelera de reciclaje, puede filtrar los objetos de esta manera.

Relacionado: Aprender los filtros LDAP y Active Directory en PowerShell

En su lugar, cree un filtro para encontrar todos los objetos con un atributo isDeleted establecido en verdadero con un nombre de cuenta que contenga la cadena *DEL:*. Este filtro solo debería devolver objetos eliminados.

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects

Una vez que haya encontrado los objetos con Get-ADObject, ahora puede canalizar esos objetos al comando Restore-ADObject.

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects | Restore-ADObject

Una vez que se haya realizado (con suerte) la restauración, debe verificar que el objeto esté de vuelta. Para hacerlo, ejecute el comando Get-ADObject nuevamente y confirme que ya no ve el objeto devuelto. Si no, ¡estás listo!

Opcionalmente, también puede ejecutar Get-ADUser o tal vez Get-ADComputer para asegurarse de que el objeto se muestre.

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects

Get-ADUser -Identity 'TestUser5'

Vaciar la papelera de reciclaje de Active Directory

Si desea eliminar todos los objetos AD reciclados, puede hacerlo con PowerShell. Encuentre todos los objetos eliminados como lo hizo antes y canalícelos al comando Remove-ADObject como se muestra a continuación.

En el siguiente ejemplo, el parámetro Confirmar se establece en falso. ¡El uso de este parámetro eliminará inmediatamente cada objeto sin ninguna confirmación!

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects | Remove-ADObject -Confirm:$false

Cambiar la vida útil de la lápida

De forma predeterminada, la vida útil de la papelera de reciclaje de Active Directory es de 180 días. Pero tal vez quieras cambiar eso. Nuevamente, usando PowerShell, puedes hacerlo realidad.

1. Primero, encuentre la vida útil existente para asegurarse de que no esté configurada como se requiere usando el fragmento de código a continuación. El valor se almacena en el atributo AD tombstoneLifetime.

$ADNamingContext = (Get-ADRootDSE).configurationNamingContext

$Params = @{
  "Identity"   = "CN=Directory Service,CN=Windows NT,CN=Services,$ADNamingContext"
  "Partition"  = $ADNamingContext
  "Properties" = '*'
}

Get-ADObject @Params | Select-Object -Property tombstoneLifetime

2. A continuación, cambie la duración de la lápida por otra distinta. Supongamos que desea ampliar la vida útil a un año completo o 365 días. Puede hacerlo utilizando el cmdlet Set-ADObject y pasándole todos los parámetros requeridos a continuación.

$ADNamingContext = (Get-ADRootDSE).configurationNamingContext

$Params = @{
  "Identity"  = "CN=Directory Service,CN=Windows NT,CN=Services,$ADNamingContext"
  "Partition" = $ADNamingContext
  "Replace"   = @{tombstoneLifetime='365'}
}

Set-ADObject @Params

Este cambio entrará en vigor de inmediato y no será necesario reiniciar ningún servicio.