Búsqueda de sitios web

papelera de reciclaje de directorio activo

Tenía la impresión de que escribí un blog sobre esto hace años (mientras trabajaba en una migración de Exchange 2010 -> 2016) pero no pude encontrar mi propio blog, así que aquí va (de nuevo).

La Papelera de reciclaje de Active Directory me salvó la vida un par de veces, no solo a mí sino también a la de mis clientes. Con la Papelera de reciclaje de Active Directory puede restaurar el objeto eliminado de Active Directory y, cuando usa Azure AD Connect, también restaurar automáticamente el objeto en Azure Active Directory (asumiendo que el objeto eliminado se sincronizó antes de la eliminación real, por supuesto).

Lástima que esté deshabilitado de forma predeterminada, pero habilitar la Papelera de reciclaje de Active Directory es solo una cuestión de iniciar el Centro administrativo de Active Directory, seleccionar y hacer clic con el botón derecho en su dominio raíz y seleccionar "Habilitar papelera de reciclaje..." como se muestra en la siguiente captura de pantalla:

Por supuesto, también es posible habilitar esto usando PowerShell, simplemente ejecute los siguientes comandos:

PS C:\> Import-Module ActiveDirectory
PS C:\> Enable-ADOptionalFeature "Recycle Bin Feature" -Scope ForestOrConfigurationSet -Target "ProExchangeAdmin.com"
WARNING: Enabling 'Recycle Bin Feature' on 'CN=Partitions,CN=Configuration,DC=ProExchangeAdmin,DC=com' is an irreversible action! You will not be able to disable 'Recycle Bin Feature' on 'CN=Partitions,CN=Configuration,DC=ProExchangeAdmin,DC=com' if you proceed.
 
Confirm
Are you sure you want to perform this action?
Performing the operation "Enable" on target "Recycle Bin Feature".
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "Y"): y
PS C:\>

Espere hasta que todos los controladores de dominio hayan replicado este cambio y esté todo listo.

Pero, ¿cómo funciona esto bajo el capó? Los objetos eliminados no permanecen en la papelera de reciclaje para siempre. De forma predeterminada, un objeto eliminado continúa existiendo en Active Directory durante 180 días, lo que se establece en el atributo msDS-deletedObjectLifetime del objeto del servicio de directorio. En el objeto que se elimina entran en juego las propiedades isDeleted y isRecycled.

Cuando se elimina un objeto de usuario, la propiedad isDeleted del usuario se establece en Verdadero. En este punto, se elimina lógicamente, pero todavía está físicamente disponible en Active Directory (en el contenedor de Elementos eliminados) y se puede restaurar. Cuando ha transcurrido la vida útil del objeto eliminado, la propiedad isRecycled se establece en True y el recolector de basura de Active Directory sabe que puede eliminar este objeto de Active Directory (eliminado físicamente de la base de datos).

Esto se muestra gráficamente en la siguiente figura.

Es posible aumentar la vida útil del objeto eliminado estampando un valor más alto en la propiedad msDS-DeletedObjectLifetime. Por ejemplo, para aumentar la vida útil predeterminada de 180 días a 2 años (=730 días), puede utilizar el siguiente comando de PowerShell:

PS C:\> Set-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=ProExchangeAdmin,DC=COM" -Partition "CN=Configuration,DC=ProExchangeAdmin,DC=COM" -Replace:@{"msDS-DeletedObjectLifetime" = 730}

Restaurar un objeto eliminado de la papelera de reciclaje es fácil. Abra el Centro administrativo de Active Directory, navegue hasta su dominio y seleccione los objetos eliminados. Seleccione y haga clic derecho en el objeto y seleccione Restaurar como se muestra en la siguiente figura:

También es posible utilizar PowerShell para restaurar un objeto eliminado. Por ejemplo, para encontrar al usuario en el ejemplo anterior podemos usar el siguiente comando de Powershell:

PS C:\> Get-ADObject -Filter 'samaccountname -eq "Johns"' -IncludeDeletedObjects

Deleted           : True
DistinguishedName : CN=Labs | John Smith\0ADEL:7ee41efd-0034-46d7-9313-62360fff43fb,CN=Deleted Objects,DC=labs,DC=local
Name              : Labs | John Smith
                    DEL:7ee41efd-0034-46d7-9313-62360fff43fb
ObjectClass       : user
ObjectGUID        : 7ee41efd-0034-46d7-9313-62360fff43fb

PS C:\>

Canalice esta salida al comando Restore-ADObject y el usuario eliminado será restaurado.
Muy simple y muy útil, siempre recomiendo habilitar esto.

Artículos relacionados