Recuperación de objetos de Active Directory mediante la papelera de reciclaje

La Papelera de reciclaje de Active Directory permite a los usuarios recuperar objetos eliminados de Active Directory sin tener que restaurarlos desde la copia de seguridad, reiniciar los Servicios de dominio de Active Directory o reiniciar los controladores de dominio (DC).

Recuperación de objetos de Active Directory con la papelera de reciclaje de AD

• [Seminario web bajo demanda] Active Directory 101: instalar y configurar servicios de dominio AD

Una vez que el tiempo del objeto en estado de objeto eliminado finaliza, el objeto se convierte en un objeto reciclado. Un objeto reciclado se parece sospechosamente a una lápida con un atributo isRecycled asignado y establecido en VERDADERO. Al igual que una lápida, la mayoría de sus atributos se eliminan y persiste en Active Directory durante el período de tiempo especificado por el atributo tombstoneLifetime. Luego, la recolección de basura de Active Directory lo limpia.

El ciclo de vida de un objeto eliminado con la Papelera de reciclaje habilitada se ve así:

Cómo cambia un objeto cuando ingresa a la papelera de reciclaje

Aquí está el objeto en el estado de objeto eliminado en la Papelera de reciclaje:

Si bien se conservan la mayoría de los atributos del objeto, existen algunas diferencias importantes:

• El objeto ha sido movido. El objeto se ha movido al contenedor de Objetos eliminados de la partición.
• Se ha cambiado el nombre del objeto. El nombre del objeto se ha actualizado utilizando Nombre comúnDEL:Object-Guid.
• El objeto posee algunos atributos nuevos. El atributo isDeleted tiene un valor de VERDADERO y el atributo lastKnownParent está completo. Un nuevo atributo, msDS-LastKnownRDN, se completa con el último nombre distintivo relativo conocido del objeto (este atributo permite que la Papelera de reciclaje restablezca correctamente el RDN de un objeto durante su restauración, incluso si el cambio de nombre del objeto resultó en la truncamiento del RDN original).
• Se han eliminado dos atributos. Dos atributos, objectCategory y sAMAccountType, siempre se eliminan de un objeto cuando se elimina. Si se recupera el objeto, el valor de objectCategory se establece automáticamente en el valor más específico del atributo objectClass del objeto y el valor de sAMAccountType se calcula a partir del valor de userAccountControl ( para objetos de usuario) o groupType atributo (para objetos de grupo).

Los lectores atentos también podrían notar que los atributos manager y memberOf también faltan en mi captura de pantalla. En realidad, simplemente se están escondiendo. Ambos atributos están valorados por vínculos (es decir, contienen referencias a otros objetos) y la herramienta que utilicé (LDP) no devuelve vínculos desactivados a menos que se haya configurado el inteligente control Devolver vínculos desactivados. Si hubiera habilitado ese control, entonces los atributos y sus valores habrían sido visibles en mi captura de pantalla, pero me habría perdido este momento de aprendizaje.

Cómo recuperar un objeto de la papelera de reciclaje de AD

Antes de Windows Server 2012, restaurar un objeto de la Papelera de reciclaje de AD requería usar una herramienta LDAP o PowerShell para enumerar todos los objetos eliminados, examinar una larga lista para encontrar el objeto deseado y usar otro comando de PowerShell para restaurarlo. ¡Fue bueno que la Papelera de reciclaje AD fuera tan útil porque no era exactamente divertido de usar!

Ahora, la funcionalidad de la Papelera de reciclaje está disponible en el Centro administrativo de Active Directory:

Como puede ver, puede encontrar rápidamente el objeto eliminado que le interesa utilizando los filtros de búsqueda.

Para restaurar un objeto, simplemente haga clic en Restaurar en la lista de Tareas en el lado derecho de la ventana. Así es como se ve el objeto restaurado:

Inconvenientes de la papelera de reciclaje de Active Directory

Si bien la Papelera de reciclaje simplifica drásticamente la recuperación de objetos, hemos visto un par de limitaciones: los objetos se conservan sólo durante un período de tiempo bastante corto y algunos de sus atributos se pierden. Hay un par de inconvenientes adicionales de la Papelera de reciclaje:

• Habilitar la Papelera de reciclaje de Active Directory implica un cambio de esquema. Por lo tanto, una vez que enciendes la Papelera de reciclaje, no puedes apagarla sin una recuperación completa del bosque.
• Active Directory será un poco más grande. Después de habilitar la Papelera de reciclaje de AD, los objetos eliminados conservarán muchos más atributos y persistirán por más tiempo que los objetos desechados. Como resultado, es probable que Active Directory utilice un poco más de espacio que antes.
• Al habilitar la Papelera de reciclaje se eliminan todos los objetos de desecho. La consecuencia más impactante de habilitar la Papelera de reciclaje es que todos los objetos de desecho en el bosque dejarán de existir inmediatamente. Muchos administradores han aprendido acerca de esta consecuencia por las malas.

Sin embargo, estos problemas no superan los beneficios de habilitar la Papelera de reciclaje de AD.

Recuperación de objetos de Active Directory sin la papelera de reciclaje de AD

Para ilustrar el valor de habilitar la Papelera de reciclaje de AD, revisemos lo que implica recuperar un objeto de AD cuando la Papelera de reciclaje de AD no está habilitada.

En un dominio sin la Papelera de reciclaje de AD habilitada, cuando se elimina un objeto de Active Directory, se convierte en una lápida. Este objeto, despojado de la mayoría de sus atributos, se mantiene en el contenedor de Objetos eliminados de la partición durante el período de tiempo especificado en el tombstoneLifetime del dominio. Durante este período, el objeto es técnicamente recuperable, pero sus atributos perdidos generalmente pueden considerarse irrecuperables. Una vez que se alcanza el valor tombstoneLifetime , el objeto se recolecta como basura y deja de existir. Este ciclo de vida se ilustra a continuación:

Veamos cómo podemos reanimar esta lápida usando la función Modificar de la utilidad LDP:

1. Haga clic derecho en la lápida y seleccione la opción Modificar.
2. En la sección Editar entrada, ingrese el valor "isDeleted" en el campo Atributo, seleccione el botón de opción Eliminar en Operación. y haga clic en el botón Entrar para agregar la entrada a la Lista de entradas.
3. En la sección Editar entrada, ingrese el valor "nombre distinguido" en el campo Atributo, ingrese el nombre distinguido del objeto antes de su eliminación en los Valores. campo, seleccione el botón de opción Reemplazar en Operación y haga clic en el botón Entrar para agregar la entrada a la Lista de entradas.
   ¿Recuerdas cuando mencioné que el atributo lastKnownParent podría resultar útil? Bueno, si no sabes cuál era el dn del objeto antes de su eliminación, puedes probar este truco: toma el dn actual y reemplaza el carácter terminado en NULL (“A”) y todo lo que está a su derecha con el valor actual de lastKnownParent. atributo.
4. Seleccione la opción Extendido en la parte inferior izquierda del panel.
5. Haga clic en el botón Ejecutar.

Luego podemos encontrar el objeto reanimado nuevamente y ver cómo se ve:

Como puede ver, técnicamente recuperamos el objeto de usuario eliminado. Sin embargo, le falta la mayor parte de la información que poseía antes de su eliminación.

Puede (en teoría) solucionar este problema tomando instantáneas VSS periódicas de Active Directory. Luego, si necesita recuperar un objeto eliminado, puede “simplemente” encontrar una copia de seguridad que se realizó antes de la eliminación del objeto, montar la instantánea usando NTDSUTIL, conectarse a la instantánea montada usando una utilidad LDAP, ubicar el objeto y exportarlo. para… no importa.

Pero espera, se pone peor.

El contenedor de Objetos eliminados no es una cosa para siempre. La propiedad tombstoneLifetime, acertadamente denominada, en el objeto CN=Directory Service,CN=Windows NT,CN-Services,CN=Configuration,ForestDistiownedName define el número de días antes de que se elimine un objeto. se eliminará permanentemente de Active Directory.

El valor de tombstoneLifetime se basa en la versión de Windows Server que participó en la creación del bosque del dominio. Está configurado en 180 días (la configuración recomendada actualmente por Microsoft) de forma predeterminada en los bosques creados con una versión de Windows Server más reciente que 2003. Las implementaciones más antiguas tienen un valor predeterminado de 60 días. Realmente vale la pena prestar atención al comportamiento de la propiedad tombstoneLifetime y es bastante interesante. Si el valor existe, la duración del desecho es el valor especificado. A menos que el valor sea inferior a 2; luego, la vida útil del desecho es de 60 días (desde Windows 2000 Server hasta Windows Server 2008) o 2 días (Windows Server 2008 R2 o posterior). Si no se especifica ningún valor, el valor es 60 días.

Si tiene curiosidad sobre el valor de tombstoneLifetime en su entorno, este script de PowerShell se lo devolverá (requiere herramientas AD DS y AD LDS):

(Get-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,$((Get-ADRootDSE).configurationNamingContext)" -Properties *).tombstoneLifetime

Una vez que un objeto ha pasado una vida útil de desecho en el contenedor de Objetos eliminados, la recolección de basura de Active Directory lo elimina lógicamente. En ese momento, desaparece y nunca volverá.

Cómo puede ayudar Netwrix

La Papelera de reciclaje de AD es una herramienta útil para recuperar objetos eliminados recientemente. Para obtener una solución más completa, considere Netwrix Recovery para Active Directory. Le permite restaurar objetos respaldados que han excedido el mdDS-DeletedObjectLifetime de su bosque y, por lo tanto, ya no se pueden recuperar usando la Papelera de reciclaje de AD