Bacon'unuzu Active Directory Geri Dönüşüm Kutusu'na Nasıl Kaydedersiniz?

Bir Active Directory kullanıcısını, bilgisayarını veya kuruluş birimini yanlışlıkla kaldırdıysanız, onu geri alabileceğinizi biliyor muydunuz? Etkinleştirilirse Active Directory geri dönüşüm kutusu söz konusu AD nesnesini kurtarmanıza yardımcı olabilir.

Bu makalede, Active Directory geri dönüşüm kutusuyla nesneleri anında nasıl etkinleştireceğinizi ve geri yükleyeceğinizi öğreneceksiniz!

Active Directory nesnelerini ve çok daha fazlasını kolayca yedeklemek ve geri yüklemek için tam özellikli bir hizmete ihtiyacınız varsa Veeam Backup & Replication'a göz atın.

Active Directory'deki Geri Dönüşüm Kutusu Nasıl Çalışır?

Geri dönüşüm kutusunu etkinleştirdiğinizde, AD'ye nesneleri AD veritabanından hemen kaldırmamasını söyler. Bir AD nesnesini kaldırdığınızda ortaya çıkan iki aşama vardır.

Mantıksal Olarak Silinen Nesneler

Bir AD nesnesini kaldırdığınız anda, o nesnenin “mantıksal olarak” silinmiş olduğunu düşünebilirsiniz. Bir nesne "mantıksal olarak" silindiğinde aslında AD veritabanından kaldırılmaz. Bunun yerine, yalnızca gizlenir ve CN=Deleted Objects kapsayıcısına taşınır ve nesnede isDeleted özelliği TRUE olarak ayarlanır.

Mantıksal olarak silinen bir nesnenin kurtarılabileceği süre, msDS-deletedObjectLifetime özelliği tarafından ayarlanır. Varsayılan değer, varsayılan olarak 180 gün olan Tombstone Lifetime ile aynı gün sayısıdır.

Mezar Taşı Geri Dönüşümü

Mantıksal olarak silinen nesne, msDS-deletedObjectLifetime özniteliği tarafından tanımlanan silinmiş nesne ömrünü aştığında, nesne kaldırıldı olarak kabul edilir. Bu noktada nesne kurtarılamaz.

msDS-deletedObjectLifetime süresi aşıldıktan sonra isRecycled özelliği TRUE olarak ayarlanır ve isDeleted özelliği kalır DOĞRU. Bu durumda mezar taşının ömrü 180 günlük varsayılan değerle başlar.

AD nesnesi mezar taşı ömrünü aştığında, nesne çöp toplama yoluyla veri tabanından fiziksel olarak silinir.

ADAC ile Geri Dönüşüm Kutusunu Etkinleştirme

Varsayılan olarak AD geri dönüşüm kutusu etkin değildir. Bu kullanışlı özelliği kullanmak için manuel olarak etkinleştirmeniz gerekir. Çok geç olana kadar unutmayın!

Geri dönüşüm kutusunu etkinleştirmek için:

  1. Etki alanına katılmış iş istasyonunuzda veya etki alanı denetleyicisinde Active Directory Yönetim Merkezi'ne (ADAC) gidin.
  2. Sol tarafta bulunan alanı tıklayın ve sağ tarafta Görevler menüsünü bulun.
  3. Aşağıda gösterildiği gibi geri dönüşüm kutusunu etkinleştirmek için Geri Dönüşüm Kutusunu Etkinleştir seçeneğini tıklayın.

ADAC daha sonra geri dönüşüm kutusunun etkinleştirilmesine yönelik bir onay isteyecektir.

Alan adınızın büyüklüğüne bağlı olarak ayarların yayılması biraz zaman alabilir.

Yenilemenin ardından Geri Dönüşüm Kutusunu Etkinleştir seçeneğinin artık gri renkte olduğunu görmelisiniz.

PowerShell ile Active Directory Geri Dönüşüm Kutusunu Etkinleştirme

Herhangi bir nedenle geri dönüşüm kutusunun etkinleştirilmesini otomatikleştirmeniz gerekirse bunu PowerShell ve Enable-ADOptionalFeature cmdlet'iyle her zaman yapabilirsiniz.

Aşağıda PowerShell'deyken geri dönüşüm kutusunu etkinleştirmek için kullanabileceğiniz bir kod pasajı bulunmaktadır. Aşağıdaki örnek, ad.lc-test.local ormanı için orman düzeyinde geri dönüşüm kutusunun etkinleştirilmesini göstermektedir.

$Params = @{
  "Identity" = 'Recycle Bin Feature'
  "Scope"    = 'ForestOrConfigurationSet'
  "Target"   = 'ad.lc-test.local'
}

Enable-ADOptionalFeature @Params

Nesneleri Active Directory Geri Dönüşüm Kutusu (ADAC) ile Kurtarma

Geri dönüşüm kutusunu etkinleştirdikten sonra artık bundan yararlanabilirsiniz! Öncelikle ADAC kullanarak başlayalım.

Bir nesneyi kaldırdıktan sonra ancak mezar taşının kullanım ömrü dolmadan önce:

  1. ADAC'da Silinmiş Nesneler kapsayıcısına gidin. Bu kap, silinen tüm Active Directory nesnelerini içerir.

2. Daha sonra geri yüklenecek nesneyi bulun. Bu durumda TestUser2 nesnesini arıyoruz. Sağdaki Görevler menüsünde dört seçenek vardır.

  • Geri Yükle - Nesneyi orijinal kuruluş birimine (OU) geri yükleyin.
  • Geri Yükle… - Nesneyi orijinal konumuna geri yüklemek yerine, nesneyi geri yüklemek için farklı bir kuruluş birimi seçin.
  • Üst Öğeyi Bul - Bu seçenek sizi doğrudan nesnenin içinde bulunduğu kuruluş birimine götürür.
  • Özellikler - Değiştirilmiş, Oluşturulmuş, Nesne Sınıfı, Kanonik Ad veya Güncelleme Sıra Numaraları (USN) gibi çok sınırlı özellikleri görüntüleyin.

Bu örnekte nesneyi Kullanıcılar kapsayıcılarında bulunan orijinal kuruluş birimine geri yükleyeceğiz.

3. Geri Yükle düğmesini tıkladığınızda, aşağıda görebileceğiniz gibi nesne artık Kullanıcı Kuruluşu'nun altına geri döner.

Nesneleri Active Directory Geri Dönüşüm Kutusu (PowerShell) ile Kurtarma

Bu teknik ne kadar yararlı olsa da, GUI altında gerçekleştirilen görevlerin aynısını yapmak için PowerShell'i kullanmak genellikle daha kolay ve daha komut dosyası yazılabilir hale gelir. Bir AD nesnesini PowerShell ile geri yüklemek için:

  1. Etki alanına katılmış bir bilgisayarda veya etki alanı denetleyicisinde PowerShell'i açın ve silinmiş bir nesneyi bulun. ActiveDirectory modülünün kurulu olduğundan emin olun.

İlgili: Active Directory Modülü Nasıl Kurulur

2. Get-ADObject komutuyla silinecek nesneleri bulun.

İlgili: Get-ADObject: PowerShell ile Active Directory'de Raporlama

Nesneyi birkaç farklı yolla bulabilirsiniz ancak her zaman IncludeDeletedObjects parametresini kullanın. Bu parametre, Silinmiş Nesneler kapsayıcısındaki tüm nesneleri bulmak için gereklidir.

Get-ADObject'i -Filter * gibi geniş bir filtre kullanarak tek başına çalıştırırsanız, bir sürü gereksiz sonuçla karşılaşırsınız. Yalnızca geri dönüşüm kutusunda olması gereken sonuçları hedeflemek için bu gibi nesneleri filtreleyebilirsiniz.

İlgili: PowerShell'de Active Directory ve LDAP Filtrelerini Öğrenme

Bunun yerine, *DEL:* dizesini içeren bir hesap adıyla isDeleted özniteliği true olarak ayarlanmış tüm nesneleri bulmak için bir filtre oluşturun. Bu filtre yalnızca silinmiş nesneleri döndürmelidir.

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects

Get-ADObject ile nesneleri bulduğunuzda, artık bu nesneleri Restore-ADObject komutuna yönlendirebilirsiniz.

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects | Restore-ADObject

Geri yükleme gerçekleştikten sonra (umarım) nesnenin geri döndüğünü doğrulamanız gerekir. Bunu yapmak için Get-ADObject komutunu yeniden çalıştırın ve döndürülen nesneyi artık görmediğinizi doğrulayın. Değilse, gitmekte fayda var!

Ayrıca nesnenin göründüğünden emin olmak için isteğe bağlı olarak Get-ADUser veya Get-ADComputer komutunu da çalıştırabilirsiniz.

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects

Get-ADUser -Identity 'TestUser5'

Active Directory Geri Dönüşüm Kutusunu Boşaltmak

Geri dönüştürülmüş AD nesnelerinin tümünü kaldırmak istiyorsanız bunu PowerShell ile yapabilirsiniz. Silinen nesnelerin tümünü daha önce yapıldığı gibi bulun ve bunları aşağıda gösterildiği gibi Remove-ADObject komutuna yönlendirin.

Aşağıdaki örnekte Confirm parametresi false olarak ayarlanmıştır. Bu parametrenin kullanılması her nesneyi herhangi bir onay gerekmeden anında siler!

Get-ADObject -Filter 'isDeleted -eq $true -and Name -like "*DEL:*"' -IncludeDeletedObjects | Remove-ADObject -Confirm:$false

Mezar Taşı Ömrünü Değiştirme

Varsayılan olarak Active Directory geri dönüşüm kutusunun kaldırıldı olarak işaretleme ömrü 180 gündür. Ama belki bunu değiştirmek istersiniz. Yine PowerShell'i kullanarak bunu gerçekleştirebilirsiniz.

  1. Öncelikle, aşağıdaki kod parçacığını kullanarak zaten gerektiği gibi ayarlanmadığından emin olmak için mevcut kullanım ömrünü bulun. Değer tombstoneLifetime AD özelliğinde saklanır.
$ADNamingContext = (Get-ADRootDSE).configurationNamingContext

$Params = @{
  "Identity"   = "CN=Directory Service,CN=Windows NT,CN=Services,$ADNamingContext"
  "Partition"  = $ADNamingContext
  "Properties" = '*'
}

Get-ADObject @Params | Select-Object -Property tombstoneLifetime

2. Daha sonra mezar taşı ömrünü başka bir şeyle değiştirin. Diyelim ki kullanım ömrünü bir tam yıla veya 365 güne uzatmak istiyorsunuz. Bunu Set-ADObject cmdlet'ini kullanarak ve gerekli tüm parametreleri aşağıya ileterek yapabilirsiniz.

$ADNamingContext = (Get-ADRootDSE).configurationNamingContext

$Params = @{
  "Identity"  = "CN=Directory Service,CN=Windows NT,CN=Services,$ADNamingContext"
  "Partition" = $ADNamingContext
  "Replace"   = @{tombstoneLifetime='365'}
}

Set-ADObject @Params

Bu değişiklik hemen geçerli olacaktır; herhangi bir hizmetin yeniden başlatılmasına gerek yoktur.

İlgili makaleler