Papelera de reciclaje de Active Directory

La papelera de reciclaje de Active Directory funciona de manera similar a la papelera de reciclaje de Windows en los ordenadores de sobremesa, integrándose a la perfección con las operaciones estándar de AD para proporcionar un mecanismo de Recovery de los objetos eliminados.

Cuando está habilitada, esta característica conserva los objetos eliminados en un estado recuperable, manteniendo sus valores de atributos y pertenencia a grupos para facilitar su restauración. Los administradores pueden acceder a esta funcionalidad tanto a través del Centro de administración de Active Directory (ADAC) como de PowerShell, lo que la hace accesible independientemente de las preferencias de gestión.

En entornos de AD, los objetos eliminados pasan por dos estados distintos: «eliminado» y «reciclado». En el estado «eliminado», la mayoría de los atributos del objeto permanecen intactos y son recuperables, mientras que en el estado «reciclado», la mayoría de los atributos se eliminan, lo que dificulta considerablemente la recuperación. Si no se habilita la Papelera de reciclaje de Active Directory, los objetos pasan inmediatamente a un estado de «tombstone», en el que muchos atributos se pierden de forma permanente, lo que complica las tareas de Recovery.

En los bosques heredados de Windows Server, la función de la Papelera de reciclaje de Active Directory está desactivada de forma predeterminada y requiere una activación explícita. La función estuvo disponible por primera vez en Windows Server 2008 R2, pero requiere un nivel funcional del bosque de al menos Windows Server 2008 R2 para su implementación. Una vez habilitada, el cambio se aplica a todo el bosque y no se puede revertir, por lo que es esencial una planificación adecuada antes de la activación.

Active Directory (AD) constituye la columna vertebral de la gestión de identidades para innumerables organizaciones de todo el mundo, ya que su base de datos contiene cuentas de usuario, grupos y políticas de seguridad de vital importancia. La eliminación accidental de estos objetos puede interrumpir las operaciones empresariales y plantear importantes retos administrativos si no se dispone de los mecanismos de Recovery adecuados.

La función de la Papelera de reciclaje de Active Directory proporciona a los administradores una red de seguridad, ya que permite restaurar rápidamente los objetos eliminados sin necesidad de recurrir a complejos procedimientos de restauración de copias de seguridad. Esta funcionalidad conserva todos los atributos de los objetos y las pertenencias a grupos, lo que simplifica enormemente lo que antes era un tedioso proceso de Recovery.

Las organizaciones que implementan la Papelera de reciclaje de Active Directory ganan en resiliencia operativa frente a los errores administrativos habituales, al tiempo que mantienen la continuidad del negocio. Esta función constituye un componente fundamental de cualquier estrategia integral de gestión de Active Directory, especialmente para aquellas empresas que no pueden permitirse largos periodos de inactividad ni la pérdida de datos.

1. Inicie sesión en un controlador de dominio con una cuenta que tenga privilegios de administrador de empresa.
2. Abre el ADAC.
3. En el panel de navegación, haga clic con el botón derecho del ratón en el nombre del dominio y seleccione «Elevar el nivel funcional del bosque» si aún no se encuentra en Windows Server 2008 R2 o superior.
4. Acceda al dominio raíz del bosque en ADAC.
5. En el panel «Tareas», haz clic en «Habilitar la papelera de reciclaje».
6. Revisa el mensaje de advertencia sobre el carácter irreversible de esta acción.
7. Haga clic en «Aceptar» para confirmar y habilitar la función.
8. Espere a que se complete la replicación en todos los controladores de dominio.

Como alternativa, los administradores pueden utilizar PowerShell para habilitar esta función con el siguiente comando:

Enable-ADOptionalFeature -Identity ‘Recycle Bin Feature’ -Scope ForestOrConfigurationSet -Target

La supervisión de la configuración de los objetos «tombstone» y de retención desempeña un papel crucial en el éxito de las operaciones de recuperación de datos. El periodo de retención predeterminado para los objetos eliminados es de 180 días, pero se puede personalizar para adaptarlo a los requisitos de la organización y a las necesidades de cumplimiento normativo. La verificación periódica de esta configuración ayuda a mantener unas capacidades de recuperación óptimas y a prevenir la pérdida inesperada de datos debido a la expiración de los períodos de retención.

La documentación constituye la piedra angular de unos procedimientos de Recovery eficaces. Al restaurar cuentas eliminadas, los administradores deben mantener registros detallados del proceso de Recovery, incluida la verificación de la pertenencia a grupos, los permisos de seguridad y otros atributos críticos. Esta documentación sirve tanto como registro de auditoría como referencia para futuras operaciones de Recovery, lo que reduce el riesgo de restauraciones incompletas.

Las pruebas periódicas, tanto de la funcionalidad de la Papelera de reciclaje como de las soluciones tradicionales de copia de seguridad, validan las capacidades de Recovery e identifican posibles problemas antes de que afecten a situaciones reales de Recovery. Estas pruebas deben simular diversos escenarios de eliminación y requisitos de Recovery para proporcionar una validación exhaustiva de los procedimientos de Recovery.

Recovery con Windows Server Backup:

• Requiere desconectar el controlador de dominio durante Recovery.
• Restaura el estado completo del sistema, incluida la base de datos de AD.
• Lleva más tiempo, pero recupera los objetos independientemente del periodo de retención.
• Requiere un manejo cuidadoso de la restauración autoritativa y no autoritativa.

Recovery con PowerShell:

• Se puede realizar mientras el servidor de dominio permanece en línea.
• Permite una Recovery selectiva y granular de objetos específicos.
• Se limita a los objetos que aún se encuentran dentro del periodo de retención.
• Conserva la mayoría de los atributos de los objetos cuando se utiliza la Papelera de reciclaje.

1. La necesidad de contar con un plan formal de Recovery ante desastres, del que carecía en el momento del ataque.
2. La importancia de mantener la infraestructura crítica de copias de seguridad separada del dominio para evitar el cifrado durante un ataque.
3. El valor de implementar protección de «air gap» para su entorno híbrido.

Tras el ataque, BBio implementó varias mejoras en su estrategia de protección de datos, entre ellas el desarrollo de un plan integral de recuperación ante desastres que da prioridad a los sistemas críticos y establece una secuencia de recuperación clara. También reforzó su protección contra el ransomware mediante la implementación de protección «air gap» para su entorno híbrido de nube y local.

«Con la protección adecuada, podemos gestionar, proteger y recuperar fácilmente los datos tanto en la nube como en las instalaciones, incluso en el peor de los casos», afirmó Vries, reflejando la renovada confianza de la empresa en su estrategia de resiliencia de datos.

Commvault ofrece una protección integral para entornos de AD mediante soluciones automatizadas de Backup and Recovery, tanto para implementaciones locales como en la nube. Las capacidades de automatización inteligente de la plataforma minimizan la carga administrativa al tiempo que maximizan la protección de los datos, creando copias de seguridad coherentes y adaptadas a las aplicaciones que mantienen la integridad de la base de datos de AD y sus objetos.

Aunque la Papelera de reciclaje nativa de Active Directory ofrece capacidades básicas de Recovery, Commvault complementa y amplía estas funciones con flujos de trabajo de Recovery mejorados. Las soluciones de Commvault ofrecen procesos de Recovery simplificados y guiados que reducen la complejidad técnica que suele asociarse a la restauración de Active Directory, lo que permite incluso a los administradores con menos experiencia realizar recuperaciones con éxito y con confianza.

Las capacidades de restauración granular de Commvault permiten a los administradores recuperar objetos específicos de AD, atributos o unidades organizativas completas sin alterar el resto del entorno. Esta precisión ayuda a minimizar el tiempo de inactividad durante las operaciones de recuperación, al tiempo que se mantiene la continuidad del negocio a lo largo de todo el proceso. La plataforma también mantiene registros detallados de Recovery y pistas de auditoría, lo que facilita el cumplimiento de los requisitos normativos y proporciona documentación con fines regulatorios.

La protección de Active Directory requiere una estrategia integral que vaya más allá de las herramientas nativas y las soluciones básicas de copia de seguridad. Las organizaciones necesitan soluciones robustas y automatizadas que protejan los datos de Active Directory en entornos híbridos y que, al mismo tiempo, permitan una rápida recuperación cuando sea necesario. Al implementar tanto la Papelera de reciclaje de Active Directory como soluciones de copia de seguridad de nivel empresarial, las organizaciones crean múltiples capas de protección para su infraestructura crítica de identidades.

Somos conscientes del papel fundamental que desempeña AD en las operaciones de su organización. Solicite una demostración para ver cómo podemos ayudarle a proteger su entorno de AD.