Az Active Directoryból törölt felhasználói fiók visszaállítása (az Active Directory lomtára nincs engedélyezve) az LDP.EXE segítségével | cikk 2#4 | 14. rész #23
A jelenlegi cikkben áttekintjük az Active Directory által törölt felhasználó visszaállításának folyamatát olyan forgatókönyvben, amelyben az Active Directory lomtár nincs engedélyezve (aktiválva). Áttekintjük, hogyan lehet visszaállítani a törölt Active Directory objektumot az LDP.EXE nevű beépített Windows szervereszköz segítségével.
Az LDP.EXE-t nem „dedikált eszközként” hozták létre az Active Directoryból törölt objektumok visszaállításához. Azonban kihasználhatjuk és használhatjuk ennek az eszköznek a fejlett képességeit, hogy „beszélgessünk” az Active Directoryval, keressünk egy Active Directory objektumot, és frissítsük a meglévő Active Directory objektumokat.
Használjuk például az LDP.EXE eszköz képességét az Active Directory LDAP-on keresztüli csatlakoztatására, és „felfedjük” az alapértelmezés szerint rejtett rendszermappát - Törölt objektum.
Az első fázisban az LDP.EXE-t "böngészőeszközként" fogjuk használni, amely lehetővé teszi számunkra az Active Directory Törölt objektum tárolójának tartalmának megtekintését, valamint egy konkrétan törölt objektum megtalálását és kiválasztását.
A következő fázis a következő lesz: - a Soft Deleted felhasználói objektum állapotának megváltoztatása Tombstoned objektum állapotról ÚJ állapotra, amely így írható le - nem Tombstoned objektum.
Más szóval - állítsa vissza a törölt objektumot (módosítsa a Soft Deleted objektum állapotát - Aktívra).
Active Directory objektum visszaállítása implementációval - Active Directory sírkőobjektumok újraélesztése
Csak egy gyors emlékeztető az Active Directory Törölt objektumok tárolójának koncepciójáról.
Az Active Directoryból törölt objektumok visszaállítását egy beépített Active Directory-mechanizmus teszi lehetővé, amelynek leírása: - Active Directory Törölt objektum tárház.
Active Directory környezetben egy objektum törlésekor az objektum nem törlődik véglegesen. Ehelyett abban az esetben, ha az Active Directory lomtár nem volt engedélyezve, a „törölve” objektum ” egy speciális Active Directory mappában lesz tárolva, melynek neve - Törölt objektum.
A „Törölt objektum” tulajdonságainak többsége el lesz távolítva (megfosztva) a tulajdonságok nagyon korlátozott készlete mellett, mint például - GUID, SID és Name.
A törölt objektum „Soft Deleted”-nek minősül. Egy másik szakkifejezés a Soft Deleted objektum azonosságának leírására - Tombstone Object.
A Sírkő objektum visszaállításának folyamata - Újraélesztés.
A következő részben bemutatjuk, hogyan kell használni az LDP.EXE eszközt az „Active Directory Tombstone Object” (Reanimating Active Directory Tombstone Object) koncepció megvalósításához (a Soft Deleted Active Directory objektumok helyreállítása).
Az Active Directory és a törölt objektum fogalmáról további információkat a cikkben olvashat: Az Active Directory törölve törölt felhasználói fiókja és a Törölt objektumtároló | Alapvető bevezetés | cikk 1#4 | 13. rész #23
Forgatókönyv leírása
Ahhoz, hogy bemutassuk, hogyan használjuk az LDP.EXE segédprogramot a Soft Deleted Active Directory felhasználói fiók visszaállítására, használjuk a következő forgatókönyvet:
- A Katy Perry egy szervezeti felhasználó (Active Directory-felhasználó), akit az Active Directory - Híres énekesek nevű szervezeti egységében hoztak létre.
- Katy Perry Active Directory felhasználói fiókja törölve!
- Az Active Directory „helyi tartománynév” - helyi
- Az Active Directory-kiszolgáló (tartományvezérlő) neve - DC01
A küldetés
Állítsa vissza Katy Perry Active Directory felhasználói fiókját!
A megoldás
Az LDP.EXE segédprogramot a következőkhöz használjuk:
- Tekintse meg az Active Directory Törölt objektum tartalmát
- Keresse meg az adott Soft Deleted felhasználói fiókot (Katy Perry felhasználói fiók).
- Állítsa vissza a Soft Deleted felhasználói fiókot az eredeti szervezeti egységbe.
Az LDP segédprogram használata a Soft Deleted Active Directory felhasználó visszaállításához
Az LDP.EXE segédprogram alapértelmezés szerint a Windows szerver részeként van telepítve. Az LDP.EXE segédprogram „hívásához” a parancssort használjuk.
Fontos, hogy rendszergazdaként aktiváljuk a parancssort
- Kattintson a jobb gombbal a parancssorra, és válassza a menüelemet - Futtatás rendszergazdaként
- Írja be a fájl nevét - LDP.exe
A következő képernyőképen láthatjuk az LDP segédprogram „üres tartalmát”.
1#4 fázis - az LDP segédprogram csatlakoztatása a helyi Active Directoryhoz
Az első fázisban egy tartományvezérlő kiszolgálót kell csatlakoztatnunk (a tartományvezérlő az a szerver, amely az Active Directory másolatát tartalmazza).
- Válassza ki a Kapcsolat menüt, majd a Kapcsolódás… > menüt
- A kiszolgáló mezőbe írja be a tartományvezérlő szerver nevét. Példánkban egy DC01 nevű tartományvezérlő szervert csatlakoztatunk.
- Hagyja meg az alapértelmezett beállításokat, majd kattintson az OK gombra.
A következő képernyőképen láthatjuk, hogy az LDP segédprogram sikeresen csatlakozik a DC szerverhez. A „jobb tollban” láthatjuk az Active Directoryból „lekért” információkat.
A tartományvezérlő szerverrel való kapcsolat befejezéséhez ellenőriznünk kell a meglévő felhasználói hitelesítő adatokat.
- Válassza ki a Csatlakozás menüt, majd a Bind… menüben
Az alapértelmezett beállítás a - Bind as jelenleg bejelentkezett felhasználóként. Példánkban a domain rendszergazda felhasználói fiókkal jelentkezünk be. Tehát ebben az esetben meghagyjuk az alapértelmezett beállítást (nem kell további felhasználói hitelesítő adatokat megadnunk).
2#4 fázis - határozza meg az Active Directory Törölt objektum mappa tartalmának megjelenítéséhez szükséges konkrét nézetet
Ebben a fázisban úgy konfiguráljuk az LDP segédprogramot, hogy „csatlakoztassa” a „Törölt objektum” nevű rejtett Active Directory mappát, amely az összes meglévő Soft Deleted Active Directory objektumot tárolja.
- Válassza a Opciók menüt és az almenüt - Vezérlők
- A szükséges „nézet” meghatározásához (a Soft Deleted objektum megjelenítése) a Előre meghatározott betöltése legördülő listát használjuk.
- Az Aktív vezérlők párbeszédpanelen bontsa ki az Előre meghatározott betöltése legördülő listát, majd kattintson a Vissza vissza a törölt objektumokat, majd kattintson az OK.
- Kattintson az OK gombra.
3#4. fázis - tekintse meg az Active Directory „fáját. ”
Az Active Directory-hierarchia fa megtekintéséhez a Fa menüt használjuk
- Válassza a Nézet menüt, majd a Fát menüt
Most meg kell „mondanunk” az LDP segédprogramnak, hogy az Active Directory melyik „partíciójához” szeretnénk csatlakozni.
Az Active Directory tartománypartíció nevét a BaseDn mezőben x.500 LDAP szintaxissal határozzuk meg .
Beírhatjuk a szükséges „elérési utat” az adatok manuális megadásával, vagy kiválaszthatjuk a kívánt Active Directory tartománypartíciót a legördülő listából.
- Kattintson a BaseDn mező jobb oldalán megjelenő kis fekete nyílra
- Válassza ki a listából az Active Directory tartománynevét.
Példánkban a tartománypartíció\elérési útja a következő: DC=o365info, DC=local
- Válassza ki a kívánt domain nevet, majd kattintson az OK gombra.
A bal oldalon láthatjuk, hogy az LDP segédprogram a gyökértartomány-partícióhoz csatlakozik
(példánkban DC=o365info, DC=local).
- Kattintson a plusz jelre a tartalom kibontásához
A következő képernyőképen az Active Directory hierarchikus felépítését láthatjuk.
Példánkban a törölt objektumok elérési útja a következő:
CN=Törölt objektumok, DC=o365info, DC=helyi
Az Active Directory fa tartalmának megtekintéséhez kattintson a pluszjelre (1-es szám).
Figyelje meg, hogy most láthatjuk az alapértelmezés szerint rejtett mappát - az Active Directory Törölt objektumok mappáját.
Az Active Directory Törölt objektumok mappa tartalmának megtekintéséhez kattintson a pluszjelre (2-es szám).
Az Active Directory Deleted Objects mappája „alatt” láthatjuk a meglévő Soft Deleted objektumok listáját.
4#4 fázis - a Soft Deleted felhasználói fiók visszaállítása
Mint említettük, példánkban szeretnénk visszaállítani Katy Soft Deleted felhasználói fiókját.
- Keresse meg a kívánt Soft Deleted objektumot (a példánkban a Katy Soft Deleted felhasználói fiók),
kattintson a jobb gombbal, és válassza a - Módosítás lehetőséget.
A Módosítás párbeszédpanelen:
- A Bejegyzés attribútumának szerkesztése mezőbe írja be, hogy isDeleted.
- Hagyja üresen az Értékek mezőt
- A Művelet alatt kattintson a Törlés, majd a Enter gombra..
- A Szerkesztés Bejegyzési attribútum mezőbe írja be, hogy distinguishedName
- Az Értékek mezőbe írja be az Active Directory objektum eredeti megkülönböztető nevét (más néven DN).
Az utasítások szerint - „írja be az eredeti megkülönböztető nevet (más néven DN). ” De biztos vagyok benne, hogy legtöbbünk nem ismeri ezt a kifejezést.
Még ha ismerjük is ennek a kifejezésnek a jelentését, legtöbbször nem tudjuk, mi az „eredeti megkülönböztető név”.
Az „eredeti megkülönböztető név” értékének „lekéréséhez” egy „kis ásást” kell végrehajtanunk az LDP segédprogram képernyőjének jobb oldali ablaktáblájában található Soft Deleted tulajdonságokban.
Az „eredeti megkülönböztető névre” vonatkozó információ két részre oszlik:
1#2 rész - lastKnownParent
Keresni fogunk egy - lastKnownParent nevű értéket
A mi konkrét forgatókönyvünkben az érték a következő:
lastKnownParent: OU=Famous Singers,DC=o365info,DC=local;
2#2 rész
Keressen egy CN nevű értéket
A mi konkrét forgatókönyvünkben a CN értéke - CN=Katy Perry
Az „eredeti megkülönböztető név” értéke a két rész „ragasztásával” valósul meg.
A következő ábrán láthatjuk a „struktúrát”, amelyet használnunk kell:
Példánkban az „eredeti megkülönböztető név” értéke:
CN=Katy Perry,OU=Híres énekesek,DC=o365info,DC=helyi
Egyszerűen fogalmazva, ez az „Active Directory cím”, amely meghatározza a Soft Deleted Katy felhasználói fiókjának helyét.
- A Művelet alatt kattintson a Csere lehetőségre (1.)
- Kattintson a Enter gombra (3.)
- Győződjön meg arról, hogy a Bővített jelölőnégyzet be van jelölve (2-es).
- Kattintson a Futtatás lehetőségre (4. szám)
A következő képernyőképen láthatjuk, hogy a Famous Singers OU-ra nézve láthatjuk, hogy a Soft Deleted User account sikeresen visszaállításra került!
Egy olyan forgatókönyv kezelése, amelyben - több Soft Deleted felhasználói fiók „azonos identitású. ”
Ebben a részben egy bonyolult forgatókönyvvel szeretnék foglalkozni, amelyben vissza kell állítani a Soft Deleted felhasználói fiókot, de a „probléma” az, hogy az Active Directory Törölt objektuma tárol Az két (vagy több) látszólag azonos felhasználói fiókot tartalmaz.
Ez a fajta forgatókönyv akkor valósulhat meg, ha az Active Directory felhasználói fiókot néhányszor törölték és létrehozták.
Például,
- Az Active Directory felhasználó létrehozása, majd törlése (Soft Deleted) történik.
- Egy idő után egy Active Directory-felhasználó ugyanazzal a megjelenített névvel és e-mail címmel ismét létrejön ÚJ Active Directory-felhasználóként.
- Egy idő után az ÚJ Active Directory felhasználói fiók törlődik.
Ebben az esetben az Active Directory lomtárában két látszólag azonos felhasználói fiók található.
A „látszólag azonos” kifejezést azért használom, mert a két Soft Deleted felhasználói fióknak ugyanaz a megjelenített neve, e-mail címe, de nem azonosak!
A „valódi különbségek” a látszólag azonos Soft Deleted felhasználói fiókok között a következők:
- Az egyedi azonosítók - a GUID és a SID érték.
- A létrehozott és frissített értékek - a „létrehozás dátuma” (WhenCreated) és a „törlés dátuma” (WhenChanged).
Megjegyzés - vegye figyelembe, hogy az Active Directory nem használ meghatározott tulajdonságot, például a „when deleted”.
Ehelyett az a tulajdonság, amely „megmondja”, hogy mikor törölték az objektumot, a következő: WhenChangedre.
Az ilyen esetek bemutatásához használjuk a következő forgatókönyvet:
- A Katy Perry egy szervezet felhasználója (Active Directory-felhasználó), amelyet az Active Directory - Híres énekesek nevű szervezeti egységében hoztak létre.
- Katy Perry Active Directory felhasználói fiókja törölve!
- Egy idő után az Active Directory adminisztrátora hozzon létre egy ÚJ Active Directory felhasználói fiókot Katy Perry számára, ugyanazokkal az adatokkal, mint a törölt előző felhasználói fiók, például - ugyanaz a megjelenített név, e-mail cím cím és így tovább.
- Egy idő után az ÚJKaty Perry Active Directory felhasználói fiókot törölték!
A küldetés
Arra kértek minket, hogy állítsuk vissza az „eredeti ” Katy Perry Active Directory felhasználói fiókot!
Más szavakkal, a Katy Perry Active Directory felhasználói fiókot, amelyet azelőtt hoztak létre. ÚJ Katy Perry felhasználói fiók.
A megoldás
Ennek a követelménynek a teljesítése érdekében az LDP.EXE segédprogramot használjuk:
- Tekintse meg az Active Directory Törölt objektum tartalmát
- Keresse meg a két konkrét Soft Deleted felhasználói fiókot, vagyis az „eredeti Katy Soft Deleted felhasználói fiókot ” és az ÚJ Katy Soft Deleted felhasználói fiókot).
- Keresse meg a „WhenCreated” (az Active Directory objektum létrehozásának dátumát) minden egyes Soft Deleted Katy felhasználói fiókban.
- Hasonlítsa össze a „WhenCreated” értékeit, és keresse meg a régebbi „WhenCreated” értékeit. ”
- Állítsa vissza az „eredeti” Soft Deleted felhasználói fiókot az eredeti szervezeti egységbe.
Más szavakkal, vissza akarjuk állítani azt a felhasználói fiókot, amelynek „létrehozásának dátuma” (WhenCreated) korábbi, mint az ÚJ felhasználói fiók „létrehozásának dátuma” (WhenCreated). amely egy későbbi szakaszban jött létre.
Ebben az esetben valamilyen módon „le kell kérnünk” ezt az információt, és ezen információk alapján „címeznünk kell” azt a bizonyos Soft Deleted felhasználói fiókot, amelyet vissza akarunk állítani.
A következő képernyőképen láthatjuk, mikor használjuk az LDP.EXE-t az Active Directory törölt objektumok tartalmának megtekintéséhez; a Soft Deleted Katy felhasználói fiók két példányát láthatjuk.
Amint már említettük, a két látszólag azonos felhasználói fiók megkülönböztetése érdekében meg fogjuk keresni a - „WhenCreated ” (az Active Directory objektum létrehozási dátuma) értékét.
Véletlenszerűen kiválasztjuk a Soft Deleted „Katy felhasználói fiókok” egyikét.
Konkrét példánkban az „alsó” Soft Deleted Katy felhasználói fiókját választjuk (1. szám).
A megfelelő tollban keressük a „WhenCreated” nevű tulajdonságot
A „WhenCreated ” értéke - 2016.10.10. 4:56:34
Ugyanezt az eljárást fogjuk végrehajtani a „második Soft Deleted Katy felhasználói fiókjával” (2. szám).
A megfelelő tollban keressük a „WhenCreated” nevű tulajdonságot
A „WhenCreated” értéke - 2016.10.10. 00:05:18
Ahhoz, hogy eldönthessük, ki az „eredeti” Active Directory felhasználói fiók, összehasonlítjuk a két Soft Deleted felhasználói fiók létrehozásának dátumát.
A következő diagramon láthatjuk, hogy az Active Directory felhasználói fiók standja ugyanazon a napon (2016.10.10.) jött létre, de…
A Katy Soft Deleted felhasználói fiókok „lebélyegezzük” a 2-es számot, amelyet egy korábbi órában hoztak létre.
A válasz pedig az, hogy ez a felhasználói fiók az „eredeti Active Directory felhasználói fiók”!
Az aktuális cikksorozat következő cikke
Az Active Directoryból törölt felhasználói fiók visszaállítása (az Active Directory lomtár nincs engedélyezve) az AdRestore, az AdRestore.net és a LEX segítségével - az LDAP-böngészővel | cikk 3#4 | 15. rész #23