Corbeille d’Active Directory

La corbeille d’Active Directory fonctionne de manière similaire à la corbeille Windows sur les ordinateurs de bureau. Elle s’intègre de manière transparente aux opérations AD standard afin de fournir un mécanisme de récupération des objets supprimés.

Lorsqu’elle est activée, cette fonctionnalité conserve les objets supprimés dans un état récupérable, en préservant leurs valeurs d’attributs et leurs appartenances à des groupes afin de faciliter leur restauration. Les administrateurs peuvent accéder à cette fonctionnalité aussi bien via le Centre d’administration Active Directory (ADAC) que via PowerShell, ce qui la rend accessible quelle que soit la méthode de gestion privilégiée.

Dans les environnements AD, les objets supprimés passent par deux états distincts : « supprimé » et « recyclé ». À l’état « supprimé », la plupart des attributs de l’objet restent intacts et récupérables, tandis qu’à l’état « recyclé », la plupart des attributs sont supprimés, ce qui rend la récupération nettement plus difficile. Si la corbeille Active Directory n’est pas activée, les objets passent immédiatement à l’état « tombstone », où de nombreux attributs sont définitivement perdus, ce qui complique les efforts de récupération.

Pour les forêts Windows Server héritées, la fonctionnalité de corbeille Active Directory est désactivée par défaut et nécessite une activation explicite. Cette fonctionnalité a été introduite pour la première fois dans Windows Server 2008 R2, mais sa mise en œuvre nécessite un niveau fonctionnel de forêt d’au moins Windows Server 2008 R2. Une fois activée, la modification s’applique à l’ensemble de la forêt et ne peut être annulée, ce qui rend indispensable une planification adéquate avant l’activation.

Active Directory (AD) constitue la colonne vertébrale de la gestion des identités pour d’innombrables organisations à travers le monde, sa base de données contenant des comptes utilisateurs, des groupes et des politiques de sécurité essentiels. La suppression accidentelle de ces objets peut perturber les opérations métier et créer d’importants défis administratifs en l’absence de mécanismes de Recovery appropriés.

La fonctionnalité de corbeille d’Active Directory offre aux administrateurs un filet de sécurité, permettant la restauration rapide des objets supprimés sans avoir recours à des procédures complexes de Recovery à partir d’une sauvegarde. Cette fonctionnalité préserve tous les attributs des objets et les appartenances aux groupes, simplifiant considérablement ce qui était autrefois un processus de Recovery fastidieux.

Les organisations qui mettent en œuvre la corbeille d’Active Directory gagnent en résilience opérationnelle face aux erreurs administratives courantes tout en assurant la continuité de leurs activités. Cette fonctionnalité constitue un élément essentiel de toute stratégie complète de gestion d’Active Directory, en particulier pour les entreprises qui ne peuvent se permettre de longues périodes d’indisponibilité ou de perte de données.

1. Connectez-vous à un contrôleur de domaine avec un compte disposant des privilèges d’administrateur d’entreprise.
2. Ouvrez l’ADAC.
3. Dans le volet de navigation, cliquez avec le bouton droit sur le nom de domaine et sélectionnez « Augmenter le niveau fonctionnel de la forêt » si celui-ci n’est pas déjà à Windows Server 2008 R2 ou supérieur.
4. Accédez au domaine racine de la forêt dans l’ADAC.
5. Dans le volet « Tâches », cliquez sur « Activer la corbeille ».
6. Lisez le message d’avertissement indiquant que cette action est irréversible.
7. Cliquez sur « OK » pour confirmer et activer la fonctionnalité.
8. Attendez que la réplication soit terminée sur tous les contrôleurs de domaine.

Les administrateurs peuvent également utiliser PowerShell pour activer cette fonctionnalité à l’aide de la commande suivante :

Enable-ADOptionalFeature -Identity ‘Recycle Bin Feature’ -Scope ForestOrConfigurationSet -Target

La surveillance des paramètres de « tombstone » et de conservation joue un rôle crucial dans la réussite des opérations de récupération des données. La durée de conservation par défaut des objets supprimés est de 180 jours, mais elle peut être personnalisée pour s’aligner sur les exigences de l’organisation et les besoins de conformité. Une vérification régulière de ces paramètres permet de maintenir des capacités de récupération optimales et d’éviter toute perte de données inattendue due à l’expiration des durées de conservation.

La documentation constitue la pierre angulaire de procédures de Recovery efficaces. Lors de la restauration de comptes supprimés, les administrateurs doivent conserver des enregistrements détaillés du processus de Recovery, y compris la vérification des appartenances à des groupes, des autorisations de sécurité et d’autres attributs critiques. Cette documentation sert à la fois de piste d’audit et de référence pour les futures opérations de Recovery, réduisant ainsi le risque de restaurations incomplètes.

Des tests réguliers du fonctionnement de la corbeille et des solutions de sauvegarde traditionnelles permettent de valider les capacités de Recovery et d’identifier les problèmes potentiels avant qu’ils n’aient un impact sur des scénarios de Recovery réels. Ces tests doivent simuler divers scénarios de suppression et exigences de Recovery afin d’assurer une validation complète des procédures de Recovery.

Recovery via Windows Server Backup :

• Nécessite de mettre le contrôleur de domaine hors ligne pendant Recovery.
• Restaure l’état complet du système, y compris la base de données AD.
• Plus chronophage, mais permet de récupérer des objets quelle que soit leur durée de conservation.
• Nécessite une gestion minutieuse de la restauration, avec ou sans autorité.

Recovery via PowerShell :

• Peut être effectuée pendant que le contrôleur de domaine reste en ligne.
• Permet une Recovery sélective et granulaire d’objets spécifiques.
• Limitée aux objets dont la période de conservation n’est pas encore écoulée.
• Préserve la plupart des attributs des objets lors de l’utilisation de la corbeille.

1. La nécessité d’un plan de Recovery officiel, dont l’entreprise ne disposait pas au moment de l’attaque.
2. L’importance de maintenir l’infrastructure de sauvegarde critique séparée du domaine afin d’empêcher son chiffrement en cas d’attaque.
3. L’intérêt de mettre en place une protection par « air gap » pour son environnement hybride.

À la suite de l’attaque, BBio a apporté plusieurs améliorations à sa stratégie de protection des données, notamment en élaborant un plan de Recovery complet qui donne la priorité aux systèmes critiques et établit une séquence de Recovery claire. L’entreprise a également renforcé sa protection contre les ransomwares en mettant en place une protection par « air gap » pour son environnement hybride (cloud et sur site).

« Grâce à une protection adéquate, nous pouvons facilement gérer, protéger et restaurer les données dans le cloud et sur site, même dans le pire des cas », a déclaré M. Vries, reflétant ainsi la confiance renouvelée de l’entreprise dans sa stratégie de résilience des données.

Commvault offre une protection complète des environnements AD grâce à des solutions automatisées de Backup and Recovery, tant pour les déploiements sur site que dans le cloud. Les capacités d’automatisation intelligente de la plateforme réduisent au minimum la charge administrative tout en optimisant la protection des données, créant ainsi des sauvegardes cohérentes et adaptées aux applications qui préservent l’intégrité de la base de données AD et de ses objets.

Si la corbeille native d’Active Directory offre des fonctionnalités de Recovery de base, Commvault complète et étend ces fonctionnalités grâce à des workflows de Recovery améliorés. Les solutions de Commvault proposent des processus de Recovery simplifiés et guidés qui réduisent la complexité technique souvent associée à la restauration d’Active Directory, permettant ainsi même aux administrateurs les moins expérimentés d’effectuer des restaurations réussies en toute confiance.

Les capacités de restauration granulaire de Commvault permettent aux administrateurs de récupérer des objets AD spécifiques, des attributs ou des unités organisationnelles entières sans perturber l’environnement global. Cette précision contribue à minimiser les temps d’arrêt pendant les opérations de restauration tout en assurant la continuité des activités tout au long du processus. La plateforme conserve également des journaux de restauration détaillés et des pistes d’audit, ce qui facilite le respect des exigences de conformité et fournit une documentation à des fins réglementaires.

La protection d’Active Directory nécessite une stratégie globale qui va au-delà des outils natifs et des solutions de sauvegarde de base. Les entreprises ont besoin de solutions robustes et automatisées qui protègent les données Active Directory dans les environnements hybrides tout en permettant une restauration rapide en cas de besoin. En mettant en œuvre à la fois la corbeille Active Directory et des solutions de sauvegarde de niveau entreprise, les organisations créent plusieurs couches de protection pour leur infrastructure d’identité critique.

Nous comprenons le rôle essentiel que joue AD dans les opérations de votre entreprise. Demandez une démonstration pour découvrir comment nous pouvons vous aider à protéger votre environnement AD.