Recupero delle unità organizzative nidificate in Active Directory

Per ripristinare un oggetto eliminato, aprire PowerShell e digitare il seguente comando: 

$dn è il nome distinto dell’oggetto da ripristinare. Per individuare il nome distinto dell’oggetto, utilizzare il seguente script in PowerShell:

Per individuare il nome distinto dell’oggetto ed eseguire il ripristino, utilizzare il seguente script in PowerShell:

%OLD_NAME% è il nome dell’oggetto prima dell’eliminazione. 

A differenza del ripristino di un solo oggetto, il ripristino di un’unità organizzativa e gli oggetti che la costituiscono è una procedura a più fasi.

Se si considera lo scenario di cui sopra, quando di elimina l’unità organizzativa HR_Department, tutti gli oggetti in esso contenuti, un totale di sei oggetti e le due unità organizzative e i quattro utenti, sono spostati del contenitore Oggetti eliminati con il relativo nome distinto storpiato. Il contenitore Oggetti eliminati visualizza tutti gli oggetti eliminati in una gerarchia piana poiché gli elementi secondari diretti e la gerarchia originale è andata perduta. Se l'amministratore deve ripristinare l’unità organizzativa HR_Department, sarà necessario identificare in qualche modo la gerarchia originale dell’unità organizzativa. 

Per ripristinare HR_Department dell’unità organizzativa, sarà necessario innanzitutto trovare la gerarchia originale dell’unità organizzativa. 

Se si conosce la gerarchia originale dell’unità organizzativa eliminata, è possibile utilizzare il cmdlet Restore_ADObject per recuperare gli oggetti eliminati di un livello di gerarchia alla volta.

Se non si conosce la gerarchia originale, è necessario identificare innanzitutto la gerarchia prima di avviare il processo di ripristino.

Ad esempio, se si desidera individuare la gerarchia dell’account utente Emma, è necessario costruire il cmdlet PowerShell in modo che venga restituito l’attributo lastKnownParent di Emma.

Nell’output restituito dal cmdlet, il valore lastKnownParent per Emma è HR_Department. Si noti che il nome distinto dell’unità organizzativa HR_Department viene storpiato ad indicare che lo stesso oggetto dell’unità organizzativa HR_Department è stato eliminato. 

Ecco un esempio di un nome distinto storpiato:
OU=HR_Department\0ADEL:d662511-4bde-b24e-f665bfa96e7b,CN=Deleted Objects,DC=validate4,DC=com
Sarà quindi necessario cercare gli oggetti nel contenitore Oggetti eliminati il cui valore lastKnownParent è HR_Department.

Nell’output restituito dal cmdlet, Manager è un’unità organizzativa. Adesso è necessario ricercare tutti gli oggetti eliminati contenuti nell’unità organizzativa Manager. Gli oggetti dell’unità organizzativa Manager conterranno un attributo lastKnownParent uguale a Manager.

Nell’output visualizzato dal cmdlet, si vedrà solamente l’account utente Harry e nessun altro oggetto all’interno dell’unità organizzativa. Adesso si avrà l’elenco di tutti gli oggetti eliminati e sarà possibile avviare il ripristino. Poiché l’unità organizzativa HR_Department è l’oggetto in alto alla gerarchia, è necessario ripristinarla. Poiché tutte le precedenti fasi investigative sono state eseguite tramite l’attributo lastKnownParent, che punta all’elemento principale diretto dell’oggetto e non indica se l’oggetto principale successivo sia stato eliminato o meno, gli amministratori possono verificare che il valore lastKnownParent per HR_Department sia un’unità organizzativa attiva eseguendo uno dei seguenti comandi:

Questo conclude l’investigazione e sarà possibile ripristinare l’unità organizzativa HR_Department alla gerarchia e stato originale.

Per ripristinare l’unità organizzativa HR_Department tramite PowerShell, eseguire le seguenti azioni nel controller di dominio.

• Fare clic su Start, quindi su Strumenti di amministrazione. Fare clic con il pulsante destro del mouse sul modulo Active Directory per Windows PowerShell, quindi fare clic su Esegui come amministratore.
• Ripristinare l’unità organizzativa HR_Department (il livello più alto della gerarchia degli oggetti da ripristinare) eseguendo il seguente comando:

Get-ADObject -ldapFilter:"(msDS-LastKnownRDN=HR_Department)" –IncludeDeletedObjects | Restore-ADObject


• Ripristinare gli account utente Jack, Vincent e Emma e l’unità organizzativa Amministratori (l’elemento secondario diretto dell’unità organizzativa HR_Department il cui nome distinto era stato ripristinato in OU=HR_Department,DC=validate4, DC=com nella fase precedente) eseguendo il seguente comando:

Get-ADObject -SearchBase "CN=Deleted Objects,DC= validate4,DC=com" -Filter {lastKnownParent -eq 'OU=HR_Department,DC= validate4,DC=com'} -IncludeDeletedObjects | Restore-ADObject


• Ripristinare l’account utente Harry (l’elemento secondario diretto dell’unità organizzativa Amministratori il cui nome distinto era stato ripristinato in OU=Admins,OU=HR_Department,DC=validate4,DC=com nella fase precedente) eseguendo il seguente comando:

Get-ADObject -SearchBase "CN=Deleted Objects,DC=validate4,DC=com" -Filter {lastKnownParent -eq 'OU=Admins,OU=HR_Department,DC=validate4,DC=com'} -IncludeDeletedObjects | Restore-ADObject

• 1. Aprire Prompt di comandi, digitare ldp.exe e premere il pulsante Invio per avviare l’utilità ldp.exe.
• 2. Aprire la finestra di dialogo Connetti andando a Connessione > Connetti. 
• 3. Inserire il nome dominio e il numero di porta predefinito come 389.
• 4. Fare clic su OK.
• 5. Andare a Connetti > Associa o fare clic su Ctrl + B per aprire la finestra di dialogo Associazione.
• 6. Selezionare Associa come utente connesso e fare clic su OK.
• 7. Andare a Opzioni > Controlli o premere il collegamento Ctrl + L.
• 8. Andare a Carica predefinito > Restituisci oggetti eliminati e fare clic su OK.
• 9. Andare a Visualizza > Albero. Fornire il nome distinto del contenitore degli oggetti eliminati nello spazio fornito. In questo caso, CN=Deleted Objects,DC=Terminator,DC=domain,dc=com
• 10. Fare clic su OK per visualizzare gli oggetti eliminati.
• 11. Espandi il contenitore nel pannello a sinistra.
• 12. Identificare l’unità organizzativa principale, in questo caso, HR_Department e individuarlo nel pannello a sinistra.
• 13. Fare clic con il pulsante destro del mouse e fare clic su Modifica.
• 14. Nella finestra di dialogo che appare, digitare Eliminato nel campo Modifica attributo voce.
• 15. Selezionare l’opzione Elimina e fare clic su Invia.
• 16. Digitare distinguishedName nel campo Modifica attributo voce e fornire il nome distinto dell’unità organizzativa nel campo Valori.
• 17. Accertarsi che sia selezionata la casella di controllo Esteso.
• 18. Fare clic su Esegui per ripristinare l’unità organizzativa. 
• 19. Una volta ripristinata l’unità organizzativa principale, ripetere i passaggi da 12 a 18 per ripristinare tutti gli oggetti contenuti nell’unità organizzativa HR_Department.

Nota: Quando si ripristinano gli oggetti presenti all’interno dell’unità organizzativa, accertarsi che il nome distinto fornito contenga il nome dell’unità organizzativa principale. Ad esempio, se si sta ripristinando l’utente Emma Roberts, il DN deve essere CN=Emma Roberts,CN=HR,DC=Terminator,DC=com. Se l’unità organizzativa principale non è menzionata, l’oggetto utente sarà ripristinato al dominio radice e sarà necessario spostarlo manualmente nell’unità organizzativa HR.

Per ripristinare le unità organizzative eliminate tramite il Centro amministrativo, 

• Aprire il Centro amministrativo di Active Directory dal menu Start.
• Nel pannello di sinistra, fare clic sul nome dominio e selezionare il relativo contenitore Oggetti eliminati. 
• Per lo scenario di cui sopra, selezionare l’unità organizzativa principale, HR_Department e fare clic sul pulsante Ripristina nel pannello a destra.
• Selezionare Manager dell’unità organizzativa e fare clic sul pulsante Ripristina nel pannello a destra.
• Selezionare tutti gli utenti eliminati e fare clic sul pulsante Ripristina nel pannello a destra.

È necessario eseguire il ripristino in modo gerarchico e ogni oggetto utente sarà ripristinato all’unità organizzativa nella quale era presente prima dell’eliminazione. Saranno ripristinati tutti gli attributi e le relative informazioni dell’appartenenza al gruppo. 

Dagli esempi di cui sopra si deduce che PowerShell, utilità LDP e Centro amministrativo di Active Directory possono essere utilizzati per ripristinare unità organizzative eliminate, tuttavia il loro processo di ripristino non è sempre intuitivo. 

I tre strumenti nativi hanno un paio di mancanze

1. Mancanza di ripristino gerarchico.

2. È necessario abilitare il cestino di AD nativo e un alto valore per l’attributo Tombstone Lifetime potrebbe aumentare le dimensioni di Directory Information Tree (DIT).

Inoltre, il ripristino delle unità organizzative nidificate tramite PowerShell e utilità LDP implica numerosi passaggi che ne aumentano la complessità qualora vi sia un numero elevato di oggetti all’interno dell’unità organizzativa.

RecoveryManager Plus consente di superare tutte queste mancanze degli strumenti nativi aggiungendo maggior valore in termini delle loro capacità. 

Considerando lo stesso caso d’uso di cui sopra, la seguente sezione spiega come RecoveryManager Plus possa essere utilizzato per ripristinare tutti gli oggetti eliminati. 

A differenza degli strumenti nativi che necessitano di ripristinare gli oggetti dal più alto livello gerarchico, RecoveryManager Plus consente di ripristinare qualsiasi oggetto indipendentemente dalla sua gerarchia originale. Quando si elimina un oggetto e il relativo contenitore principale, il ripristino dell’oggetto eliminato ripristina automaticamente anche il contenitore principale, eliminando così la necessità di ripristino individuale dei contenitori. 

RecoveryManager Plus consente di ripristinare gli oggetti con tutti i loro attributi integri anche se il Cestino nativo non è abilitato. Questo è possibile perché RecoveryManager Plus prevede la funzionalità di un proprio Cestino. Qui è possibile trovare tutti gli oggetti AD eliminati ed è persino possibile vedere in anteprima gli attributi che saranno ripristinati assieme all’oggetto. È inoltre possibile utilizzare i filtri disponibili per limitare i risultati della ricerca per il tipo di oggetto necessario (utente, unità organizzativa, gruppo, etc) o ricercare l’oggetto eliminato per nome. 

Quando viene eliminata l’intera unità organizzativa HR_Department, è possibile trovare l’unità organizzativa eliminata e i relativi oggetti in esso contenuti nel cestino di RecoveryManager Plus.

Se l’amministratore conosce la gerarchia originale dell’unità organizzativa eliminata, l’amministratore può selezionare solo il contenitore principale e riciclarlo, e di conseguenza saranno ripristinati automaticamente tutti gli oggetti dell’unità organizzativa. 

Altre funzionalità chiave di RecoveryManager Plus 

Oltre al ripristino degli oggetti eliminati, RecoveryManager Plus è uno strumento complesso con molte funzionalità che lo rendono indispensabile per gli amministratori che desiderano un controllo totale sui contenuti della loro AD. 

Maggiori informazioni sulle diverse funzionalità che offre RecoveryManager Plus.