Come ripristinare oggetti Active Directory eliminati: la guida definitiva

In quanto servizio di directory di autenticazione globale che garantisce la gestione centralizzata delle risorse dell’infrastruttura IT, Active Directory (AD) è una delle applicazioni aziendali più critiche. Ciò significa che, in caso di interruzione, un ripristino rapido è essenziale per ridurre i tempi di inattività del servizio. AD contiene solitamente una moltitudine di oggetti organizzati gerarchicamente, alcuni dei quali dipendono da altri. Il processo di ripristino può richiedere molto tempo, poiché è necessario ripristinare una struttura gerarchica complessa e ricreare manualmente alcuni dati. Questo articolo del blog spiega come ripristinare gli oggetti di Active Directory che sono stati eliminati.

Nozioni di base sul ripristino degli oggetti di Active Directory

È possibile avviare il processo di ripristino di AD utilizzando l’utilità di backup integrata in Windows Server o un’altra utilità di terze parti supportata. Active Directory offre due metodi principali di ripristino:

• Non-Authoritative Recovery è il metodo predefinito per ripristinare Active Directory. Questo metodo riporta semplicemente il dominio allo stato in cui si trovava al momento della creazione del backup e consente alla replica regolare di sovrascrivere eventuali modifiche apportate successivamente agli oggetti e ai contenitori.
• Authoritative Recovery si compone di due parti: il ripristino non autorevole dal backup seguito dal ripristino autorevole. La differenza principale è che questo metodo può apportare modifiche autorevoli agli oggetti e ai loro attributi nell’intera directory. Questo tipo di ripristino può influire sugli account computer, sui rapporti di fiducia e sull’appartenenza ai gruppi.

Per selezionare il metodo di ripristino di AD corretto, considerare quanto segue:

• The cause of the failure: La causa è una cancellazione o modifica accidentale o dolosa di oggetti, che è stata replicata a tutti i controller di dominio, oppure un guasto completo dell’intera macchina virtuale? Nel caso di cancellazione/modifica, è necessario un ripristino autoritativo.
• Roles and functions del server Active Directory guasto.

Strumenti nativi per ripristinare oggetti AD cancellati

Gli oggetti AD cancellati non vengono sempre visualizzati nello componente aggiuntivo “Utenti e computer di Active Directory” . È possibile visualizzare il contenitore “Oggetti cancellati” contenente gli oggetti AD cancellati e ripristinarli solo utilizzando strumenti speciali.

Esistono due approcci per ripristinare gli oggetti eliminati in Active Directory (AD) utilizzando strumenti nativi di Microsoft, compresi quelli integrati in Windows Server: con il Cestino di Active Directory e senza di esso. Esiste una grande differenza tra i due approcci.

Ripristino senza il Cestino di AD

Quando il AD Recycle Bin is disabled, il processo di eliminazione e ripristino degli oggetti AD è il seguente:

1. Quando un oggetto viene eliminato, esso diventa un “tombstone”.
2. L’oggetto “tombstone” viene archiviato nel Contenitore degli oggetti eliminati per il periodo impostato in tombstoneLifetime per il dominio corrente. La maggior parte degli attributi va persa quando l’oggetto diventa un “tombstone”, chiamato anche oggetto eliminato.
3. Durante il periodo di vita del “tombstone”, è possibile ripristinare l’oggetto AD, ma senza alcuna informazione aggiuntiva registrata nei suoi attributi.
4. Quando il periodo di vita del “tombstone” scade, l’oggetto viene fisicamente eliminato senza alcuna possibilità di ripristinarlo.

Il ciclo di vita degli oggetti di Active Directory è illustrato nel diagramma sottostante per spiegare il principio del ripristino degli oggetti AD senza il Cestino di AD.

Ripristino dal Cestino di AD

La situazione cambia quando si turn on Active Directory Recycle Bin:

1. Quando un oggetto AD viene eliminato, il suo stato passa a “logicamente eliminato”. Gli attributi dell’oggetto vengono conservati per il periodo di tempo specificato nell’attributo Durata degli oggetti eliminati ( msDS-deletedObjectLifetime ), che per impostazione predefinita è pari al periodo specificato nell’attributo Durata degli oggetti riciclati (180 giorni). È possibile ripristinare gli oggetti eliminati in Active Directory durante questo periodo.
2. L’attributo isDeleted è impostato su True . L’attributo isRecycled è False .
3. Una volta scaduto il periodo di durata di vita dell’oggetto eliminato , lo stato dell’oggetto passa da eliminato logicamente a oggetto riciclato . L’oggetto riciclato è simile all’oggetto tombstone quando il Cestino di AD è disabilitato.
4. Questo oggetto riciclato si trova ancora nel contenitore “Oggetti eliminati” fino alla scadenza del “Durata dell’oggetto riciclato” definita nell’attributo tombstoneLifetime . L’attributo isRecycled è impostato su True . La maggior parte degli attributi dell’oggetto, che vengono comunque conservati nello stato di eliminazione logica, viene eliminata.
5. Quando la durata dell’oggetto riciclato ( tombstoneLifetime ) scade, il meccanismo di garbage collection di Active Directory pulisce completamente l’oggetto riciclato e quest’ultimo viene eliminato fisicamente. Il ripristino degli oggetti non è più possibile.

Cestino di Active Directory: cosa devi sapere

Il Cestino di Active Directory è stato reso disponibile per la prima volta in Windows Server 2008 R2 per essere utilizzato solo in PowerShell. L’interfaccia grafica (GUI) per il Cestino AD è disponibile dal Windows Server 2012. Per impostazione predefinita, il Cestino AD è disabilitato.

Nota quanto segue prima di abilitare il Cestino di Active Directory:

• Una volta abilitato il Cestino di Active Directory, tutte le tombstone nella foresta del dominio vengono eliminate. Ciò significa che se elimini oggetti di Active Directory e poi abiliti il Cestino AD, è impossibile ripristinare quegli oggetti. Per recuperare oggetti di Active Directory eliminati, utilizza altri metodi senza fare affidamento sul Cestino e solo dopo abilita il Cestino.
• Abilitare il Cestino AD consente di ripristinare gli oggetti AD eliminati dopo che il Cestino AD è stato abilitato. Abilita il Cestino AD before elimini oggetti AD.
• Una volta abilitato il Cestino AD, non puoi disabilitarlo. Questa opzione è irreversibile. Esegui il backup del tuo controller di dominio AD prima di abilitare il Cestino AD se non sei sicuro di aver bisogno di questa funzione in modo permanente.
• Abilitare il Cestino AD modifica lo schema di Active Directory.
• Active Directory cresce in dimensioni perché gli oggetti con i loro attributi sono temporaneamente preservati in Active Directory dopo aver cambiato il loro stato.

Come ripristinare gli oggetti AD eliminati con strumenti nativi

Andremo ad eliminare oggetti in Active Directory e poi vedremo come ripristinarli con e senza il Cestino AD. Copriremo 4 metodi nativi:

• Esempio 1: Usando PowerShell
• Esempio 2: Usando ADRestore
• Esempio 3: Usando Ldp.exe
• Esempio 4: Ripristino dal Cestino AD

I primi tre esempi coinvolgono il ripristino di oggetti AD senza il Cestino AD. Nel quarto esempio, dovremmo attivare il Cestino di Active Directory, eliminare alcuni oggetti e poi ripristinarli.

The environment used in the examples:

• Un controller di dominio in esecuzione su Windows Server 2019 che è l’unico controller di dominio nella foresta del dominio.
• Un nome di dominio è ID.TEST
• Abbiamo più utenti – utente1 , utente2 , utente3 , ecc. che fanno parte del gruppo (Gruppo A) in questo dominio AD.

Si noti che i metodi nativi illustrati di seguito non richiedono l’arresto di un controller di dominio né la sua messa offline per ripristinare gli utenti AD eliminati.

Esempio 1: Ripristino di oggetti AD in PowerShell (Restore-ADObject)

Eliminiamo l’utente user1 in Active Directory e poi proviamo a ripristinare l’oggetto user1 . Eseguiamo queste operazioni sul controller di dominio.

Eseguire i seguenti passaggi per ripristinare un utente AD eliminato:

1. Aprire PowerShell con privilegi amministrativi (PowerShell con privilegi elevati).
2. Gli oggetti eliminati si trovano nel contenitore DeletedObjects e presentano il flag isDeleted . Visualizzare gli oggetti AD eliminati con il comando:

Get-ADObject -IncludeDeletedObjects -Filter {IsDeleted -eq $true}

3. Per ripristinare un oggetto, è necessario rimuovere il flag isDeleted da tale oggetto. Dobbiamo ripristinare user1 . Inserire il comando per visualizzare tutti gli oggetti i cui nomi iniziano con user . A tal fine, aggiungiamo queste opzioni al filtro: {Isdeleted -eq $true -and Name -like “user*“}

Il comando seguente è valido per visualizzare altri utenti quali user2 , user3 , ecc., qualora siano stati eliminati:

Get-ADObject -IncludeDeletedObjects -Filter {Isdeleted -eq $true -and Name -like "user*"}

4. Prendere nota dell’ObjectGUID o del DistinguishedName dell’oggetto desiderato. Nel nostro caso utilizziamo l’ObjectGUID per l’utente user1 :

4c723d90-5a05-47c3-9482-c05dc3c6201c

5. Per ripristinare l’oggetto eliminato, eseguire il comando come segue:

Restore-ADObject -Identity "GUID or DistingushedName here" -NewName "new_restore_name"

Nel nostro caso:

Restore-ADObject -Identity "4c723d90-5a05-47c3-9482-c05dc3c6201c" -NewName "user1-restored"

6. Facoltativamente, è possibile definire una ubicazione alternativa in cui ripristinare l’oggetto corrente utilizzando la chiave -TargetPath e impostando un nome distinto (DN) per la nuova ubicazione, ad esempio:

CN=Users,DC=domain,DC=net

Dopo aver eseguito il comando e ripristinato l’oggetto di Active Directory, non vediamo user1 nel catalogo Utenti e nel Gruppo-A dove si trovava prima questo utente.

Ciò è dovuto al fatto che quasi tutti gli attributi dell’oggetto vanno persi dopo l’eliminazione di un oggetto di Active Directory senza l’utilizzo del Cestino di AD, anche se l’oggetto stesso è stato ripristinato.

Possiamo trovare l’oggetto AD ripristinato user1-restored nel gruppo Utenti del dominio . Il nome di accesso dell’utente è salvato solo nel formato precedente a Windows 2000. L’account user1-restored è disabilitato. Il punto è che il SID originale viene conservato e tutte le autorizzazioni NTFS relative a file e cartelle associate a questo utente rimangono valide.

Nota: Se si ricrea un nuovo oggetto AD invece di ripristinare un oggetto eliminato da un tombstone, vengono assegnati nuovi valori agli attributi objectGUID e objectSID , che richiedono l’aggiornamento dei riferimenti a questo oggetto.

Dobbiamo modificare il nome di accesso, abilitare l’account, aggiornare la password e aggiungere questo utente a Group-A . È necessario un notevole lavoro manuale per ripristinare correttamente tutti gli attributi e l’appartenenza.

Esempio 2: Utilizzo di ADRestore per ripristinare utenti AD eliminati

Nel nostro secondo esempio, il Cestino di Active Directory è ancora disabilitato.

L’utente User2 , membro del gruppo Group-A , viene eliminato.

Stiamo per utilizzare lo strumento gratuito ADRestore per ripristinare gli oggetti eliminati in Active Directory. Questo strumento è disponibile sul sito Web di Microsoft:

https://docs.microsoft.com/en-us/sysinternals/downloads/adrestore

1. Scarica lo strumento ed estrarre il contenuto dall’archivio zip in una cartella specifica, ad esempio C:programsadrestore
2. Accedere a questa directory in PowerShell:

cd c:programsadrestore

Eseguire PowerShell come amministratore.

3. Visualizzare le informazioni relative all’utente eliminato user2 specificando il nome utente esatto in PowerShell con privilegi elevati:

Get-ADObject -Filter 'SAMAccountName -eq "user2"' -IncludeDeletedObjects

Deleted: True conferma che questo utente è stato eliminato.

CN=Deleted Objects indica che l’oggetto (account utente) è stato spostato nel contenitore “Oggetti eliminati”.

4. Prendere nota dell’ ObjectGUID di user2 :

c6c121a3-d664-4d71-a6ef-9ad26b833fe6

5. Immettere il comando per ripristinare l’oggetto con adrestore specificando l’ ObjectGUID dell’utente desiderato:

.adrestore -r c6c121a3-d664-4d71-a6ef-9ad26b833fe6

Digitare y e premere Enter per confermare e procedere.

6. Una volta ripristinato l’oggetto eliminato ( user2 ), verificare la presenza di questo utente nella finestra Utenti e computer di Active Directory .

Il risultato è simile a quello del primo esempio. L’utente user2 viene ripristinato senza dati aggiuntivi quali attributi e appartenenza a gruppi.

Esempio 3: Ripristino degli utenti AD eliminati con Ldp.exe

Il terzo metodo della nostra guida per ripristinare un utente AD eliminato 3 non richiede il Cestino di AD. In questo metodo, utilizziamo un’utilità LDAP gratuita ldp.exe

Lo strumento Ldp è uno strumento nativo di Microsoft fornito con i sistemi operativi Windows Server, quali Windows Server 2008, 2012, ecc. Si tratta di un client LDAP leggero dotato di un’interfaccia utente grafica (GUI) in stile Esplora risorse di Windows, che consente di visualizzare e modificare le voci di Active Directory.

1. Fare clic su Start > Run (oppure premere Win+R).
2. Digitare ldp nella finestra Esegui e premere Enter.

3. Fare clic su Connection > Connect nella finestra principale di Ldp.

4. Impostare i parametri richiesti nella finestra Connetti .

Server: Inserire l’indirizzo IP o il nome del proprio server AD DC.

Port: Per impostazione predefinita viene utilizzato 389 o 636.

Fare clic su OK.

5. Fare clic su Connection > Bind nella finestra principale di Ldp.

6. Dato che abbiamo effettuato l’accesso come amministratore di dominio sul controller di dominio, selezioniamo la prima opzione:

• Bind as currently logged on user.

È possibile utilizzare la seconda opzione ( Bind with credentials ) e impostare un nome utente, una password e il dominio a cui ci si desidera connettere.

Premere OK per continuare.

7. Fare clic su Options > Controls nella finestra principale di Ldp.

In PowerShell con privilegi elevati, è possibile eseguire il comando per visualizzare le informazioni relative all’utente eliminato.

Get-ADObject -Filter 'SAMAccountName -eq "user3"' -IncludeDeletedObjects

L’oggetto objectGUI di user3 è:

17ede5dc-b527-4ae4-ba5b-3ed50855be80

Selezionare Return deleted objects nella finestra nel menu a discesa Load Predefined della finestra Controls di . Premere OK.

8. Fare clic su View > Tree nella finestra principale di LDP.

Immettere un BaseDN . Il nome del nostro dominio è ID.TEST e il nostro BaseDN è DC=ID,DC=TEST

. Premere OK per procedere.

9. Naviga nell’albero fino all’oggetto eliminato che devi ripristinare ( user3 è l’oggetto che, nel nostro caso, vogliamo ripristinare dal Cestino di AD). Espandi un dominio ed espandi il contenitore Deleted Objects .

Nota: Puoi vedere i risultati delle operazioni eseguite nel riquadro destro della finestra.

10. Fai clic con il tasto destro del mouse sull’oggetto ( user3 nel nostro caso) e fai clic su Modify nel menu contestuale.

11. Il DN è stato già selezionato automaticamente.

Digita isDeleted nel campo Modifica Attributo Voce .

Seleziona Delete nelle opzioni Operazione .

Fai clic sul pulsante Enter in questa finestra.

12. Digita distinguishedName nel campo Valori .

Inserisci i valori per ripristinare gli oggetti, per esempio: CN=user3,OU=Users,DC=ID,DC=test

Puoi inserire valori per una posizione DN personalizzata per la ripristino.

Seleziona l’operazione Replace.

Fai clic sul pulsante Enter nell’interfaccia di questa finestra Modifica .

Seleziona le caselle Synchronous e Extended checkbox. Poi fai clic su Run.

Dopo aver ripristinato l’oggetto AD nella posizione selezionata con questo metodo utilizzando lo strumento Ldp (LDAP), i dati aggiuntivi con attributi non vengono ripristinati (password, appartenenza al gruppo, ecc.). È necessario configurare manualmente questi parametri.

In generale, il risultato è simile al risultato ottenuto con gli altri due metodi, che non utilizzano nemmeno il Cestino di AD.

Attiviamo il Cestino di Active Directory e vediamo un risultato diverso quando si ripristinano oggetti cancellati in Active Directory.

Esempio 4: Come Ripristinare dal Cestino di Active Directory

Prima di procedere con il ripristino, diamo un’occhiata a come abilitare il Cestino di AD.

Come Abilitare il Cestino di Active Directory

È consigliato eseguire il backup di Active Directory un controller di dominio prima di abilitare il Cestino di AD. Questo ti permetterà di tornare indietro se necessario allo stato con il Cestino di AD disabilitato e con i tombini esistenti.

Esegui il comando per verificare se il Cestino di Active Directory è abilitato:

Get-ADOptionalFeature "Recycle Bin Feature" | select-object name,EnabledScopes

Se vedi parentesi vuote {} nel risultato, il Cestino di AD è disabilitato.

Qui ci sono i requisiti per abilitare il Cestino di AD.

• È necessario aver effettuato l’accesso a Windows Server come amministratore di dominio o come utente membro del gruppo Enterprise Admins o Schema Admins.
• Il livello funzionale della foresta deve essere Windows Server 2008 o superiore per abilitare il Cestino di Active Directory.

Esistono due metodi principali per abilitare il Cestino di Active Directory: in PowerShell e in Server Manager.

1. Enabling AD Recycle Bin in PowerShell

Eseguire i seguenti comandi per attivare il Cestino di Active Directory in PowerShell con privilegi elevati:

Import-Module ActiveDirectory

In generale, il comando per abilitare il Cestino di AD è simile a questo:

Enable-ADOptionalFeature 'Recycle Bin Feature' -Scope ForestOrConfigurationSet -Target <your forest root domain name>

Nel nostro caso, il comando esatto con il nostro nome di dominio specificato è:

Inserire il nome del proprio dominio al posto di id.test utilizzato nel nostro esempio.

2. Enabling AD Recycle Bin in Server Manager

1. Aprire Server Manager. Fare clic su Start e digitare server manager oppure premere Win+R. Nella finestra Esegui , digitare dsac.exe e premere Enter.
2. Andare su Tools > Active Directory Administrative Center nella finestra Server Manager .

3. Selezionare il dominio radice della foresta nel riquadro di sinistra. Nel nostro caso selezioniamo ID (local) .
4. Fare clic su Enable Recycle Bin nel riquadro di destra.

5. Leggere l’avvertenza e fare clic su OK nella finestra Abilita conferma Cestino per continuare.

6. È necessario aggiornare la finestra del Centro di amministrazione di Active Directory. Fare clic sul pulsante Refresh nell’angolo in alto a destra della finestra del Centro di amministrazione.
7. Successivamente, l’opzione Enable Recycle Bin diventa disattivata (in grigio).
8. Il contenitore Deleted Objects appare nel menu quando si fa clic sul proprio dominio per espanderne il contenuto.

9. Assicurarsi che il Cestino di Active Directory sia abilitato eseguendo il comando in PowerShell:

Get-ADOptionalFeature "Recycle Bin Feature" | select-object name,EnabledScopes

Per visualizzare ulteriori informazioni sulle funzioni, utilizzare questo comando:

Get-ADOptionalFeature -filter *

Ripristino degli utenti dal Cestino di Active Directory

Eliminiamo user4 , che è membro del gruppo Group-A nel nostro dominio id.test , come abbiamo fatto negli esempi precedenti con gli altri utenti.

Aprire il Cestino di Active Directory all’indirizzo Server Manager > Active Directory Administrative Center e selezionare un utente eliminato. User4 è l’oggetto che, nel nostro caso, vogliamo ripristinare dal Cestino di Active Directory.

Esistono quattro opzioni principali per un oggetto di Active Directory eliminato presente nel Cestino:

• Restore – ripristinare oggetti AD eliminati nell’unità organizzativa originale
• Restore To – selezionare un’unità organizzativa diversa come destinazione per il ripristino di un oggetto AD eliminato
• Locate Parent – aprire l’unità organizzativa originale in cui era archiviato l’oggetto eliminato
• Properties – visualizzare alcune proprietà dell’oggetto eliminato, quali Creato , Modificato , Nome canonico , Classe oggetto o Numeri di sequenza di aggiornamento

Per ripristinare un utente nella posizione originale, fare clic su Restore nel menu situato sul lato sinistro della finestra.

User4 è stato ripristinato come oggetto Active Directory nella stessa posizione, con tutti i dati e gli attributi correlati conservati. L’appartenenza al gruppo è stata mantenuta e user4 è membro di Group-A dopo il ripristino.

Il comando per ripristinare un utente AD eliminato dal Cestino di Active Directory in PowerShell è il seguente:

Get-ADObject -Filter {displayName -eq "user4"} -IncludeDeletedObjects | Restore-ADObject

Sostituisci user4 con l’oggetto che desideri ripristinare sul tuo server.

Pertanto, il Cestino di Active Directory è utile se non si esegue un Backup di Active Directory.

Come modificare le Impostazioni di conservazione nel Cestino di AD

È possibile modificare alcune impostazioni del Cestino di Active Directory per poter ripristinare gli oggetti eliminati in Active Directory per un periodo di tempo più lungo. Esamineremo la modifica delle seguenti due impostazioni:

1. Durata del tombstone ( tombstoneLifetime )

• Come verificare la durata attuale dei tombstone in PowerShell
• Come modificare la durata delle voci “tombstone” in PowerShell

2. Durata dell’oggetto eliminato ( msDS-DeletedObjectLifetime )

• Come modificare la durata degli oggetti eliminati

Nota: L’aumento dei valori di questi due parametri potrebbe influire sulle prestazioni di Active Directory.

Come verificare la durata attuale del tombstone in PowerShell

Visualizza la durata attuale del tombstone in PowerShell con privilegi elevati utilizzando questa serie di comandi:

1. Aprire Modifica ADSI , uno strumento standard preinstallato in Windows Server 2019.

È possibile trovare questo strumento in

“C:ProgramDataMicrosoftWindowsStart MenuProgramsAdministrative Tools“

oppure utilizzando questo percorso:

%SystemRoot%system32adsiedit.msc

È possibile fare clic su Start e digitare ASDI Edit per eseguire rapidamente lo strumento.

2. Fare clic con il pulsante destro del mouse su ADSI Edit nella finestra e selezionare Connect to dal menu contestuale.

3. Nella finestra Impostazioni di connessione , impostare i seguenti parametri:

• Nome: Configuration
• Punto di connessione : Select a well known Naming Context > Configuration
• Computer: Default

Premi OK per applicare queste impostazioni.

4. L’albero con i parametri di configurazione di Active Directory è ora visualizzato nella finestra principale dello strumento ADSI Edit .
5. Vai a Configuration > CN=Configuration > CN=Services > CN=Windows NT > CN=Directory Service
6. Fai clic destro CN=Directory Service e nel menu contestuale, clicca Properties.

7. Scorri l’elenco delle proprietà e trova tombstoneLifetime. Come abbiamo verificato prima, il valore predefinito è 180 giorni.
8. Fai doppio clic tombstoneLifetime per modificare il valore impostato.

9. Inserisci un nuovo valore, ad esempio, 365 e premi OK per salvare le impostazioni.

Nota: Se imposti il valore su null <not set>, la durata del tombstone è automaticamente impostata a 60 giorni poiché questo periodo è codificato nel sistema di configurazione per il valore null.

10. Il nuovo valore è impostato.

11. Clicca OK per salvare le impostazioni e chiudere la finestra Properties.

Puoi assicurarti che il valore sia stato impostato in PowerShell utilizzando il set di comandi spiegati sopra.

Come modificare la durata del tombstone in PowerShell

Apri PowerShell come amministratore.

Esegui una serie di comandi per impostare un nuovo valore della durata del tombstone in PowerShell elevato:

Verifica la durata del tombstone aggiornata utilizzando il set di comandi appropriato spiegato nella sezione precedente.

Come modificare la durata dell’oggetto eliminato

L’attributo msDS-deletedObjectLifetime determina la durata dell’oggetto eliminato. Puoi modificare questo parametro con lo strumento ASDI Edit proprio come abbiamo fatto durante la modifica del parametro della durata del tombstone.

Vai a:

Configuration > CN=Configuration,DC=ID,DC=TEST > CN=Services > CN = Windows NT > CN=Directory Service

Nella CN=Directory Service, trova l’attributo msDS-deletedObjectLifetime e modifica il valore. Il valore è impostato su null <not set> per impostazione predefinita. Questo significa che il periodo della durata dell’oggetto eliminato è uguale alla durata del tombstone.

Il valore minimo che puoi impostare è 2 (cioè, 2 giorni).

Le Limitazioni degli Strumenti di Recupero AD Nativi

Riassumiamo le limitazioni dell’uso degli strumenti e metodi di Recupero AD Nativo:

• Ciò comporta un notevole carico di lavoro manuale, come l’esecuzione di comandi o la configurazione dei parametri necessari nell’interfaccia grafica delle utility fornite.
• I processi di ricerca e ripristino possono richiedere molto tempo.
• Le password degli utenti non vengono conservate dopo il ripristino. È necessario reimpostare la password per ciascun utente.
• È necessario aggiungere manualmente alcuni oggetti o attributi agli oggetti ripristinati.
• Il Cestino di Active Directory semplifica il processo di ripristino degli oggetti AD e ripristina la maggior parte degli attributi degli oggetti. Tuttavia, questa funzione non è utile se non è stata abilitata prima che gli oggetti venissero eliminati.
• Quando si attiva il Cestino di Active Directory, la dimensione dell’albero delle informazioni di directory (DIT) aumenta.
• Non è possibile ripristinare oggetti di Active Directory eliminati se il tempo trascorso dalla loro eliminazione supera la durata del tombstone.

Fortunatamente, è possibile aggirare i limiti temporali del Cestino di Active Directory tramite il backup di Active Directory.

Ripristino di oggetti AD da un backup

Il ripristino di oggetti di Active Directory eliminati da un backup è il metodo più affidabile e consente di ripristinare gli oggetti AD eliminati indipendentemente dal fatto che il Cestino di Active Directory sia abilitato o meno. Il metodo di backup prevede il backup di Active Directory o dell’intero controller di dominio in esecuzione su un server fisico o una macchina virtuale.

Spiegheremo come recuperare oggetti Active Directory eliminati da un backup utilizzando la soluzione di protezione dei dati universale NAKIVO Backup & Replication:

• Abbiamo già eseguito un backup del controller di dominio di Active Directory. Nel nostro esempio, il controller di dominio è installato su una macchina virtuale (VM) in VMware vSphere e abbiamo eseguito il backup dell’intera VM.
• Il sistema operativo è Windows Server 2019, come negli esempi precedenti di questo post.
• Il nome del dominio è domain1.local in questo esempio, ma il resto delle impostazioni del dominio è identico a quello precedente.

Requisiti

I requisiti per il server su cui si ripristinano gli oggetti AD eliminati sono:

• È necessario che sia installato Visual C++ Redistributable per Visual Studio 2015. Il programma di installazione di vc_redist.x86.exe (v.2015) è disponibile sul sito Web di Microsoft.
• Il servizio iniziatore iSCSI deve essere avviato.
• La porta TCP 5000 deve essere aperta.
• Il modulo Active Directory per PowerShell deve essere installato.

Eliminazione di oggetti AD

Eliminiamo l’unità organizzativa unit1 nel nostro dominio, che è domain1.local . L’unità organizzativa contiene tre utenti: user1 , user2 e user3 .

Ripristino di oggetti AD eliminati da un backup

Aprire l’interfaccia web della soluzione di backup NAKIVO.

Selezionare il processo di backup della macchina virtuale VMware vSphere che contiene il backup del controller di dominio di Active Directory.

Fare clic su Recover > Microsoft Active Directory objects.

Si apre la procedura guidata di ripristino degli oggetti per il server Microsoft AD.

1. Backup. Selezionare la macchina virtuale necessaria dal backup selezionato. Quindi selezionare un punto di ripristino. Nel nostro caso, il backup contiene una macchina virtuale con un server AD (il nome della VM è Blog-Win19-DC ) e selezioniamo il punto di ripristino più recente.

Fare clic su Next ad ogni passaggio per continuare.

2. Recovery Server. Selezionare le impostazioni del server di ripristino:

• Recovery Server: Selezionare un server di ripristino come destinazione per ripristinare gli oggetti AD eliminati. Ripristiniamo questi oggetti sulla stessa macchina virtuale. È possibile espandere l’elenco e selezionare un server o una macchina virtuale dal proprio inventario.
• Server hostname or IP: Inserire il nome host o l’indirizzo IP della VM o del server selezionato.
• Username: Inserire il nome utente di un amministratore di dominio o di altri utenti che dispongano delle autorizzazioni appropriate nel dominio. Nel nostro esempio, il nome utente è domain1administrator
• Password: Inserire la password dell’utente specificato.

Fare clic su Test Connection. Se il test è stato superato, fare clic su Next.

In alternativa, è possibile avviare il servizio in PowerShell:

1. Verificare lo stato del servizio iniziatore iSCSI:

Get-Service -Name MSiSCSI

2. Avviare il servizio iSCSI:

Start-Service msiscsi

3. Impostare il tipo di avvio del servizio su “automatico”:

Set-Service -Name MSiSCSI -StartupType Automatic

4. Verificare se il servizio iniziatore iSCSI è stato avviato:

Get-Service -Name MSiSCSI

3. Objects. Selezionare gli oggetti AD che si desidera ripristinare. È possibile ripristinare più oggetti contemporaneamente con un elevato livello di automazione. Vogliamo ripristinare gli account AD eliminati.

4. Options. Selezionare le opzioni di ripristino AD in questa fase. Tutte le opzioni possibili sono elencate di seguito.

• Recovery type:
• Ripristina nella posizione originale
• Esporta
• Recovery of user object:
• L’utente verrà disabilitato
• L’utente dovrà modificare la password al prossimo accesso
• Overwrite behavior:
• Rinomina l’elemento recuperato se tale elemento esiste
• Ignora l’elemento recuperato se tale elemento esiste
• Sovrascrivi l’elemento originale se tale elemento esiste

In questo esempio di ripristino AD, stiamo ripristinando gli elementi nella posizione originale e selezionando le opzioni, come puoi vedere nella schermata qui sotto.

Fai clic su Recover, leggi la notifica e premi Proceed.

5. Finish. Il ripristino degli oggetti di Active Directory è iniziato. Attendere il termine del processo di ripristino.

Una volta terminato il processo di ripristino degli oggetti AD utilizzando questo metodo, è possibile aprire Utenti e computer di Active Directory sul nostro Windows Server 2019 e verificare se un’unità organizzativa AD eliminata ( unit1 ) sia stata ripristinata con gli oggetti figli.

Come si può vedere nella schermata qui sotto, tutti gli utenti memorizzati in unit1 sono stati ripristinati. La maggior parte dei loro attributi, inclusa l’appartenenza ai gruppi, è stata conservata. Basta reimpostare le password e abilitare questi account utente.

Ripristino avanzato di AD da un backup

Potrebbe essere necessario eseguire un ripristino avanzato di Active Directory e ripristinare oggetti Active Directory eliminati da un backup con impostazioni altamente personalizzate. Ad esempio, è possibile esportare oggetti AD da un backup su un server personalizzato, modificarne i parametri e importarli nella ubicazione desiderata.

La soluzione universale di protezione dei dati di NAKIVO consente di eseguire tali operazioni. Vediamo un esempio.

Esportazione di oggetti AD da un backup

I primi passaggi del flusso di lavoro nell’interfaccia web sono gli stessi spiegati nella sezione precedente di questo articolo. Passiamo direttamente al terzo passaggio della procedura guidata di ripristino degli oggetti. La differenza nel flusso di lavoro di ripristino avanzato di AD inizia da questo passaggio.

1. Objects. In questo esempio selezioniamo altri oggetti di Active Directory da ripristinare. Vogliamo ripristinare utenti AD eliminati. Navighiamo per trovare Utenti e selezioniamo user10 . Possiamo selezionare più oggetti AD nella directory Utenti da ripristinare da un backup.

2. Options. Scegliamo di esportare gli oggetti Active Directory selezionati che vogliamo ripristinare. Vogliamo esportare gli oggetti nella cartella locale sul server di ripristino e tutte le nostre impostazioni in questa fase sono le seguenti.

• Recovery type: Esporta
• Export location: Cartella locale sul server di ripristino
• Local path: C:TempAD-Recovery
• Overwrite behavior: Rinomina l’elemento ripristinato se tale elemento esiste

Fare clic su Recover e Proceed per continuare.

Attendere che il processo di ripristino termini e che gli oggetti Active Directory selezionati siano stati esportati nella posizione di destinazione.

Una volta terminato il processo di esportazione, è possibile visualizzare gli oggetti Active Directory nella cartella C:TempAD-Recovery . Ogni oggetto AD viene esportato come file LDIF separato.

Un file LDIF è un file di testo modificabile che contiene le informazioni sull’oggetto Active Directory esportato. Proviamo a ripristinare un utente AD cancellato, che è l’utente user10 nel nostro caso. Puoi vedere un esempio del contenuto del file LDIF nello screenshot qui sotto.

Ldifde è l’utilità nativa di Windows Server che può esportare/importare oggetti Active Directory da/a . LDIF file. Tuttavia, devi soddisfare alcuni requisiti per utilizzare questo strumento, come ad esempio l’installazione di un ruolo server Autorità di Certificazione (CA).

Preparazione di Windows Server per il ripristino di oggetti AD

Prima di iniziare, assicurati che il server Active Directory abbia un ruolo CA. Sarà necessario per una connessione LDAP sicura. Puoi abilitare questo ruolo in Server Manager utilizzando la procedura guidata di Add roles and features. Il flusso di lavoro per aggiungere questo ruolo è standard e ci concentreremo solo sui passaggi principali per aggiungere questo ruolo.

Seleziona la casella di controllo Active Directory Certificate Services al passaggio Server Roles della procedura guidata Aggiungi ruoli e funzioni .

Seleziona Certification Authority nel Role Services step.

Dopo aver completato tutti i passaggi della procedura guidata, è necessario eseguire una configurazione post-distribuzione per il ruolo installato.

Segui i passaggi standard della procedura guidata di configurazione di AD CS:

1. Credenziali. Inserisci le credenziali di un amministratore di dominio (domain1amministratore nel nostro caso)
2. Servizi del ruolo. Assicurati che l’Autorità di Certificazione sia selezionata.
3. Tipo di configurazione. Seleziona CA aziendale.
4. Tipo di CA. Seleziona CA principale.
5. Chiave privata. Seleziona Crea una nuova chiave privata.
6. Crittografia. Puoi usare le impostazioni predefinite.
7. Nome della CA. Assicurati che il nome della CA sia corretto per il tuo dominio.
8. Periodo di validità. Imposta un periodo, ad esempio, 5 anni.
9. Database dei certificati. Usa impostazioni predefinite.

Riavvia il server Windows per rendere effettive le modifiche dopo aver terminato la procedura guidata di configurazione di AD CS.

Completamento del ripristino di AD

Ora possiamo utilizzare lo strumento a riga di comando Ldifde in Windows PowerShell per ripristinare gli oggetti eliminati in Active Directory importandoli. Li abbiamo esportati da un backup in precedenza, come ricorderai.

1. Apri PowerShell come amministratore.
2. Vai alla directory dove si trovano i file LDIF degli elementi ripristinati:

cd C:TempAD-Recovery

3. Il comando per importare gli oggetti AD dal file LDIF per ripristinarli è il seguente:

ldifde -i -t 636 -f filename.ldif -k -j logfolder

Dove filename.ldif è il percorso del file ldif, e logfolder è il percorso della cartella dove verranno salvati i log del processo. L’opzione -t 636 indica la porta TCP 636 utilizzata per la connessione sicura con il server AD. Nel nostro caso, il comando per ripristinare oggetti AD eliminati importandoli è:

ldifde -i -t 636 -f NakivoExport-domain1.local.Users.user10.ldif -k -j C:TempAD-RecoveryLog

Stiamo ripristinando user10 . L’esempio dell’output della console PowerShell se l’importazione ha esito positivo è visualizzato nello screenshot qui sotto.

Nota: Se usi l’ ldifde strumento per esportare oggetti di Active Directory manualmente, utilizza i filtri. Non tutti gli attributi per oggetti AD possono essere importati dall’amministratore. Alcuni attributi sono protetti e i diritti per importarli appartengono solo al sistema. In questo caso, puoi vedere messaggi di errore come L’attributo è di proprietà di Security Account Manager (SAM ), problema 5003 (WILL_NOT_PERFORM) e altri quando tenti di importare oggetti dai file LDIF.

Se esporti un oggetto come un utente o un gruppo con tutti gli attributi, potresti dover rimuovere manualmente alcuni attributi come objectGUID , objectSid , sAMAccountType , e altri nel file .LDIF eliminando le righe appropriate prima di importare. Altrimenti, non puoi importare l’oggetto con lo strumento ldifde .

Tieni a mente questi aspetti quando usi la funzionalità di esportazione/importazione dello strumento ldifde per il backup e il ripristino senza una soluzione di backup dedicata. È meglio usare una soluzione di backup specializzata per proteggere l’intero server di Active Directory o la macchina virtuale con la possibilità di effettuare ripristini completi e granuli di oggetti AD rapidamente e facilmente.

Conclusione

Il modo affidabile per proteggere dati e applicazioni, inclusa l’Active Directory con tutti gli elementi che contiene, è eseguire regolarmente correttamente il backup dei dati e conservare i backup utilizzando una politica di conservazione razionale. Una soluzione di backup specializzata aiuta in questo caso. NAKIVO Backup & Replication è la soluzione universale per la protezione dei dati, coerente con le applicazioni e in grado di supportare il ripristino completo e il recupero granulare di file e oggetti, anche in Active Directory.

Prova NAKIVO Backup & Replication

Richiedi una prova gratuita per scoprire tutte le funzionalità di protezione dei dati offerte dalla soluzione. 15 giorni gratuiti. Nessuna limitazione in termini di funzionalità o capacità. Non è obbligatoria alcuna carta di credito.

Prova gratuitamente