Weboldal keresés

Hogyan mentse el a szalonnát az Active Directory Lomtárral

Ha véletlenül eltávolított egy Active Directory-felhasználót, számítógépet vagy szervezeti egységet, tudta, hogy visszakaphatja? Ha engedélyezve van, az Active Directory lomtára segíthet az AD-objektum helyreállításában.

Ebből a cikkből megtudhatja, hogyan lehet pillanatok alatt engedélyezni és visszaállítani az objektumokat az Active Directory lomtárral!

Ha egy teljes értékű szolgáltatásra van szüksége az Active Directory objektumok és még sok más egyszerű biztonsági mentéséhez és visszaállításához, nézze meg a Veeam Biztonsági mentés és replikáció oldalt.

Hogyan működik a Lomtár az Active Directoryban?

Amikor engedélyezi a lomtárat, az utasítja az AD-t, hogy ne távolítsa el azonnal az objektumokat az AD-adatbázisból. Egy AD-objektum eltávolításakor két szakasz történik.

Logikailag törölt objektumok

Abban a pillanatban, amikor eltávolít egy AD-objektumot, az objektumot „logikailag” töröltnek tekintheti. Ha egy objektumot „logikailag” törölnek, akkor valójában nem kerül eltávolításra az AD adatbázisból. Ehelyett egyszerűen elrejti és áthelyezi a CN=Deleted Objects tárolóba, az isDeleted attribútum pedig TRUE értékre van állítva az objektumon.

A logikailag törölt objektumok visszaállításának időtartamát az msDS-deletedObjectLifetime attribútum határozza meg. Az alapértelmezett érték ugyanannyi nap, mint a Tombstone Lifetime, amely alapértelmezés szerint 180 nap.

Sírkő újrahasznosítás

Ha a logikailag törölt objektum túllépi az msDS-deletedObjectLifetime attribútum által meghatározott törölt objektum élettartamát, az objektum sírkőnek minősül. Ezen a ponton az objektum nem állítható vissza.

Az msDS-deletedObjectLifetime idő túllépése után az isRecycled attribútum értéke TRUE, és az isDeleted attribútum megmarad. TRUE. A sírkő élettartama ekkor alapértelmezés szerint 180 nappal kezdődik.

Amint az AD objektum túllépi a sírkő élettartamát, az objektumot a rendszer a szemétgyűjtésen keresztül fizikailag törli az adatbázisból.

A Lomtár engedélyezése az ADAC segítségével

Alapértelmezés szerint az AD lomtár nincs engedélyezve. Ennek a praktikus funkciónak a használatához manuálisan kell engedélyeznie. Ne felejtsd el, amíg nem késő!

A lomtár engedélyezése:

  1. Keresse meg az Active Directory felügyeleti központot (ADAC) a tartományhoz csatlakoztatott munkaállomáson vagy egy tartományvezérlőn.
  2. Kattintson a bal oldalon található domainre, és a jobb oldalon keresse meg a Feladatok menüt.
  3. Kattintson a Lomtár engedélyezése lehetőségre a lomtár engedélyezéséhez az alábbiak szerint.

Az ADAC ezután megerősítést kér a lomtár engedélyezésére.

Attól függően, hogy mekkora a domain, eltarthat egy ideig a beállítások terjesztése.

A frissítés után látnia kell, hogy a Lomtár engedélyezése lehetőség szürkén jelenik meg.

Az Active Directory Lomtár engedélyezése a PowerShell segítségével

Ha valamilyen oknál fogva automatizálnia kell a lomtár engedélyezését, ezt mindig megteheti a PowerShell és az Enable-ADOPtionalFeature parancsmag segítségével.

Az alábbiakban látható egy kódrészlet, amellyel engedélyezheti a Lomtárat a PowerShellben. Az alábbi példa az ad.lc-test.local erdőben engedélyezi az újrahasznosítási tartályt az erdő szintjén.

$Params = @{
  "Identity" = 'Recycle Bin Feature'
  "Scope"    = 'ForestOrConfigurationSet'
  "Target"   = 'ad.lc-test.local'
}

Enable-ADOptionalFeature @Params

Objektumok helyreállítása az Active Directory Lomtárral (ADAC)

Miután engedélyezte a lomtárat, most kihasználhatja annak előnyeit! Kezdjük először az ADAC használatával.

Miután eltávolított egy tárgyat, de mielőtt a sírkő élettartama lejár:

  1. Keresse meg a Törölt objektumok tárolót az ADAC-ban. Ez a tároló tartalmazza az összes törölt Active Directory objektumot.

2. Ezután keresse meg a visszaállítandó objektumot. Ebben az esetben a TestUser2 objektumot keressük. A jobb oldali Feladatok menüben négy lehetőség közül választhat.

  • Visszaállítás - Az objektum visszaállítása az eredeti szervezeti egységre (OU).
  • Visszaállítás ide… - Az objektum eredeti helyére való visszaállítása helyett válasszon másik szervezeti egységet az objektum visszaállításához.
  • Szülő hely keresése - Ez a lehetőség közvetlenül ahhoz a szervezeti egységhez viszi, amelyben az objektum szerepelt.
  • Tulajdonságok - Nagyon korlátozott tulajdonságok megtekintése, például Módosított, Létrehozva, Objektumosztály, Kanonikus név vagy Frissítési sorozatszámok (USN).

Ebben a példában visszaállítjuk az objektumot a Felhasználók tárolókban található eredeti szervezeti egységére.

3. Kattintson a Visszaállítás gombra, és amint az alább látható, az objektum ismét a Users OU alá kerül.

Objektumok helyreállítása az Active Directory lomtárral (PowerShell)

Bármennyire is hasznos ez a technika, gyakran még egyszerűbb és jobban leírható a PowerShell ugyanazon feladatok elvégzése, mint a grafikus felhasználói felületen. AD-objektum visszaállítása PowerShell segítségével:

  1. Tartományhoz csatlakoztatott számítógépen vagy tartományvezérlőn nyissa meg a PowerShellt, és keressen egy törölt objektumot. Győződjön meg arról, hogy az ActiveDirectory modul telepítve van.

Kapcsolódó: Az Active Directory modul telepítése

2. Keresse meg a törölni kívánt objektumokat a Get-ADObject paranccsal.

Kapcsolódó: Get-ADObject: Jelentéskészítés az Active Directoryról a PowerShell segítségével

Az objektumot többféleképpen is megtalálhatja, de mindig használja az IncludeDeletedObjects paramétert. Ez a paraméter szükséges az összes objektum megtalálásához a Törölt objektumok tárolóban.

Ha a Get-ADObject parancsot önmagában futtatja egy olyan széles szűrővel, mint a -Filter *, akkor rengeteg felesleges eredményt fog látni. Ha csak azokat az eredményeket szeretné megcélozni, amelyeknek a lomtárban kell lenniük, szűrheti le az objektumokat.

Kapcsolódó: Active Directory és LDAP-szűrők tanulása a PowerShellben

Ehelyett hozzon létre egy szűrőt, amely megkeresi az összes olyan objektumot, amelynek isDeleted attribútuma igaz értékre van állítva, és a fióknév tartalmazza a *DEL:* karakterláncot. Ennek a szűrőnek csak törölt objektumokat kell visszaadnia.

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects

Miután megtalálta az objektumokat a Get-ADObject segítségével, most átvezetheti ezeket az objektumokat a Restore-ADObject parancsba.

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects | Restore-ADObject

Miután a visszaállítás (remélhetőleg) megtörtént, ellenőrizze, hogy az objektum visszatért-e. Ehhez futtassa újra a Get-ADObject parancsot, és ellenőrizze, hogy már nem látja a visszaadott objektumot. Ha nem, akkor jó!

Opcionálisan futtathatja a Get-ADUser vagy esetleg a Get-ADComputer parancsot is, hogy biztosítsa az objektum megjelenését.

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects

Get-ADUser -Identity 'TestUser5'

Az Active Directory Lomtár ürítése

Ha el szeretné távolítani az összes újrahasznosított AD-objektumot, ezt megteheti a PowerShell segítségével. Keresse meg az összes törölt objektumot az előzőek szerint, és vigye be őket a Remove-ADObject parancsba az alábbiak szerint.

Az alábbi példában a Confirm paraméter értéke false. Ezzel a paraméterrel minden objektum azonnal törlődik minden megerősítés nélkül!

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects | Remove-ADObject -Confirm:$false

A sírkő élettartamának megváltoztatása

Alapértelmezés szerint az Active Directory lomtár sírkő élettartama 180 nap. De talán szeretnél ezen változtatni. A PowerShell használatával ismét megvalósíthatja.

  1. Először keresse meg a meglévő élettartamot, hogy megbizonyosodjon arról, hogy az nincs még a szükségesnek beállítva az alábbi kódrészlet segítségével. Az értéket a tombstoneLifetime AD attribútum tárolja.
$ADNamingContext = (Get-ADRootDSE).configurationNamingContext

$Params = @{
  "Identity"   = "CN=Directory Service,CN=Windows NT,CN=Services,$ADNamingContext"
  "Partition"  = $ADNamingContext
  "Properties" = '*'
}

Get-ADObject @Params | Select-Object -Property tombstoneLifetime

2. Ezután módosítsa a sírkő élettartamát valami másra. Tegyük fel, hogy az élettartamot egy teljes évre vagy 365 napra szeretné meghosszabbítani. Ezt megteheti a Set-ADObject parancsmag használatával, és átadja neki az összes szükséges paramétert alább.

$ADNamingContext = (Get-ADRootDSE).configurationNamingContext

$Params = @{
  "Identity"  = "CN=Directory Service,CN=Windows NT,CN=Services,$ADNamingContext"
  "Partition" = $ADNamingContext
  "Replace"   = @{tombstoneLifetime='365'}
}

Set-ADObject @Params

Ez a változás azonnal életbe lép, nincs szükség a szolgáltatások újraindítására.

Kapcsolódó cikkek