Direkt zum Hauptbereich

Windows 2008 R2 Active Directory Recycle Bin (AD Papierkorb)


Ich habe mir mal den AD Papierkorb von Windows 2008 R2 angeschaut.
Hilfreiche Links:
Voraussetzungen:
  • Alle DomainController des Forests sind auf Windows 2008 R2
  • Forest Functional Level ist Windows 2008 R2
Starten der "Active Directory Power Shell"
Setzen des Forest Functional Levels mit dem Befehl:
Set-ADForestMode –Identity foo.com -ForestMode Windows2008R2Forest
Aktivieren des AD Papierkorbs. Dieser Befehl muss zwingend eingegeben werden, ansonsten ist der AD Papierkorb nicht aktiv.
Enable-ADOptionalFeature –Identity ‘CN=Recycle Bin Feature,CN=Optional Features,CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration, DC=foo,DC=com’ –Scope ForestOrConfigurationSet –Target ‘foo.com’
Dadurch werden folgende AD Settings gemacht:
  • Im Container "CN=Partitions,CN=Configuration,DC=Foo,DC=com" wird das Attribut "msDS-EnabledFeature" gesetzt
  • Die Attribute "tumbstoneLifetime" und "msDS-DeletetObjectLifetime" im Container "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=Foo,DC=com" bestimmen die Werte für den Verbleib im Papierkorb, bzw als Tumbstone. Hat "msDS-DeletetObjectLifetime" keinen Wert, wird automatisch der Wert von "tumbstoneLifetime" übernommen.
Also dann schauen wir mal wie das Funktioniert und erstellen eine OU
In dieser "TestOU" habe ich zwei User erstellt.
Also dann löschen wir mal die OU
Ah yeah - In den Eigenschaften der OU unter der Registerkarte "Object" das Häcklein bei "Protect object from accidential deletion"
Okay - wir löschen ja eine ganze OU inklusive aller darin enthaltenen Objekte.
So, die OU ist gelöscht....
Nun wollen wir mal die Objekte im Papierkorb anzeigen
Get-ADObject –Searchbase „CN=Deleted Objects,DC=foo,DC=com“ –LdapFilter „(objectclass=*)“ –Includedeletedobjects | Format-List
Oder wir zeigen uns erst mal alle Objekte vom Typ "organizationalUnit" an
Get-ADObject -filter {objectclass -eq "organizationalUnit"} -IncludeDeletedObjects
Jetzt können wir die OU ja über die "ObjectGUID" ansprechen
Get-ADObject -Filter {ObjectGUID -eq "bf48364d-52fb-46e3-a044-6fda27b2ebb8"} -IncludeDeletedObjects
Und durch das pipen an das CMDlet  Restore-ADObject wird die OU wiederhergestellt.
Get-ADObject -Filter {ObjectGUID -eq "bf48364d-52fb-46e3-a044-6fda27b2ebb8"} -IncludeDeletedObjects | Restore-ADObject
Also bleiben noch die zwei Accounts zum wiederherstellen.
  • Get-ADObject -filter {samaccountname -eq "m.lisa"} -IncludeDeletedObjects
  • Get-ADObject -filter {samaccountname -eq "m.twain"} -IncludeDeletedObjects
Die User-Objekte werden so gefunden, dann kann der Restore durchgeführt werden.
  • Get-ADObject -filter {samaccountname -eq "m.lisa"} -IncludeDeletedObjects | Restore-ADObject
  • Get-ADObject -filter {samaccountname -eq "m.twain"} -IncludeDeletedObjects | Restore-ADObject
Nun sind die OU und die Useraccounts wieder in Active Directory wiederhergestellt.
Fazit
Der AD Papierkorb funktioniert und ist eigentlich eine recht tolle Angelegenheit. Jedoch müssen die Search Filter genau stimmen und hier habe ich einige Zeit verbracht die entsprechenden Search Kriterien zusammenzustellen. Aber Übung macht den Meister. Aber ein UI hätte da auch nicht geschadet

Kommentare

Beliebte Posts aus diesem Blog

Microsoft Office 2013 aktivieren via Kommandozeile

Wie man das neue Microsoft Office 2013 aktiviert via Kommandozeile, das werde ich euch in dem folgenden Beitrag Schritt für Schritt erklären. Gerade in grösseren Systemumgebungen in welchen die Clients und Standard Software automatisiert installiert werden, kann das sehr hilfreich sein und erspart einem viel Arbeit nach der Installation des Clients. Das Ziel sollte sein, möglichst viel zu automatisieren und soweit möglich, wenig noch händisch zu konfigurieren. Da kommt dieser Beitrag sicherlich nicht ungelegen. Die folgenden Befehle könnte man beispielsweise ganz einfach in eine MDT (Microsoft Development Toolkit) Umgebung mit einbeziehen oder auch mit anderer Software benutzen. Wichtig zu wissen ist, dass dies nur dann funktioniert, wenn Microsoft Office 2013 über das Internet aktiviert wird. Hat man einen eigenständigen Aktivierungsserver (KMS), funktioniert dies nicht. Zudem müssen die Befehle alle mit Administrator Rechte ausgeführt werden. Normale Benutzerberechtigungen genügen …

Windows Domain Controller: Es sind momentan keine Anmeldeserver zum Verarbeiten der Anmeldeanforderung verfügbar

Zurzeit häuft sich (warum auch immer) das Problem dass nach einem Neustart eines Windows Domain Controllers bei der Anmeldung die Fehlermeldung „Es sind momentan keine Anmeldeserver zum Verarbeiten der Anmeldeanforderung verfügbar“ kommt und eine Anmeldung so nicht möglich ist Das Problem ist hierbei das der Domain Controller im Active Directory Reperatur Modus (Abgesicherter Modus) startet. Am einfachsten lässt sich dieses Problem folgendermaßen beheben: 1) Anmeldung mit dem DSRM (Directory Services Restore Mode) / Verzeichnisdienstwiederherstellungskennwort Falls die Anmeldung nicht funktioniert kann man einen Workaround wie hier beschrieben durchführen. 2) Systemkonfiguration mittels msconfig.exe aufrufen

WSUS won’t uninstall or re-install

Hat heute ein Problem mit WSUS unter Windows Server 2008 R2 bei einem Kunden. Das Problem - die Clients konnten keinen Verbindung zum WSUS Server herstellen. Die Deinstallation wurde unerwartet beenden mit folgender Fehlermeldung: Attempt to un-install Windows Server Update Services failed with error code 0x80070643. Fatal error during installation  Die Lösung: I don’t like Windows Server Update Services (WSUS), but it’s the free alternative many companies select over the higher cost alternatives like Intune or Systems Center. So, today I had to repair a damaged WSUS installation. Turns out someone uninstalled SQL Server 2005 Express not realizing WSUS was using it. Now firing up the WSUS console just yielded an error complaining about the missing SQL database. So like any good troubleshootin IT guy the first thing I tried was to uninstall WSUS…sadly, however the product would not uninstall or re-install. Here’s how I finally got rid of it: [the problem] WSUS 3.0 SP2 is missing SQL serv…