Cestino di Active Directory

Il Cestino di Active Directory funziona in modo simile al Cestino di Windows sui computer desktop, integrandosi perfettamente con le operazioni standard di AD per fornire un meccanismo di Recovery degli oggetti eliminati.

Quando è abilitata, questa funzionalità conserva gli oggetti eliminati in uno stato recuperabile, mantenendo i valori degli attributi e le appartenenze ai gruppi per facilitarne il ripristino. Gli amministratori possono accedere a questa funzionalità sia tramite il Centro di amministrazione di Active Directory (ADAC) che tramite PowerShell, rendendola accessibile indipendentemente dalle preferenze di gestione.

In AD environments, deleted objects transition through two distinct states: “deleted” and “recycled.” In the deleted state, most object attributes remain intact and recoverable, while in the recycled state, most attributes are stripped away, making recovery significantly more difficult. Without the Active Directory Recycle Bin enabled, objects immediately enter a “tombstone” state, where many attributes are permanently lost, complicating recovery efforts.

Per le foreste legacy di Windows Server, la funzionalità del Cestino di Active Directory è disabilitata per impostazione predefinita e richiede un’attivazione esplicita. La funzionalità è stata resa disponibile per la prima volta in Windows Server 2008 R2, ma per essere implementata richiede un livello funzionale della foresta pari almeno a Windows Server 2008 R2. Una volta abilitata, la modifica si applica a tutta la foresta e non può essere annullata, rendendo essenziale una pianificazione adeguata prima dell’attivazione.

Active Directory (AD) serves as the backbone of identity management for countless organizations worldwide, with its database containing critical user accounts, groups, and security policies. The accidental deletion of these objects can disrupt business operations and create significant administrative challenges without proper recovery mechanisms in place.

La funzione Cestino di Active Directory offre agli amministratori una rete di sicurezza, consentendo il ripristino rapido degli oggetti eliminati senza la necessità di complesse procedure di ripristino dai backup. Questa funzionalità conserva tutti gli attributi degli oggetti e le appartenenze ai gruppi, semplificando notevolmente quello che un tempo era un processo di Recovery tedioso.

Organizations that implement the Active Directory Recycle Bin gain operational resilience against common administrative errors while maintaining business continuity. The feature represents a critical component of any comprehensive di gestione di Active Directory strategy, particularly for enterprises that cannot afford extended downtime or data loss.

1. Accedere a un controller di dominio con un account dotato di privilegi di amministratore aziendale.
2. Aprire l’ADAC.
3. In the navigation pane, right-click on the domain name and select “Raise Forest Functional Level” if not already at Windows Server 2008 R2 or higher.
4. Accedere al dominio radice della foresta in ADAC.
5. In the Tasks pane, click “Enable Recycle Bin.”
6. Leggere il messaggio di avviso relativo alla natura irreversibile di questa operazione.
7. Click “OK” to confirm and enable the feature.
8. Attendere il completamento della replica su tutti i controller di dominio.

In alternativa, gli amministratori possono utilizzare PowerShell per abilitare questa funzionalità con il seguente comando:

Enable-ADOptionalFeature -Identity ‘Recycle Bin Feature’ -Scope ForestOrConfigurationSet -Target

Il monitoraggio delle impostazioni relative ai tombstone e alla conservazione dei dati svolge un ruolo cruciale nel successo delle operazioni di recupero dei dati. Il periodo di conservazione predefinito per gli oggetti eliminati è di 180 giorni, ma può essere personalizzato per allinearsi ai requisiti organizzativi e alle esigenze di conformità. La verifica regolare di queste impostazioni contribuisce a mantenere capacità di recupero ottimali e a prevenire perdite di dati impreviste dovute alla scadenza dei periodi di conservazione.

La documentazione costituisce la pietra angolare di procedure di Recovery efficaci. Durante il ripristino di account eliminati, gli amministratori dovrebbero mantenere registrazioni dettagliate del processo di Recovery, compresa la verifica delle appartenenze ai gruppi, delle autorizzazioni di sicurezza e di altri attributi critici. Questa documentazione funge sia da traccia di audit che da riferimento per future operazioni di Recovery, riducendo il rischio di ripristini incompleti.

Test regolari sia della funzionalità del Cestino che delle soluzioni di backup tradizionali consentono di verificare le capacità di Recovery e di identificare potenziali problemi prima che questi abbiano un impatto sugli scenari di Recovery effettivi. Questi test dovrebbero simulare vari scenari di cancellazione e requisiti di Recovery per fornire una verifica completa delle procedure di Recovery.

Recovery tramite Windows Server Backup:

• Richiede di mettere offline il controller di dominio durante Recovery.
• Ripristina l’intero stato del sistema, compreso il database AD.
• Richiede più tempo, ma ripristina gli oggetti indipendentemente dal periodo di conservazione.
• Richiede un’attenta gestione del ripristino autorevole/non autorevole.

Recovery tramite PowerShell:

• Può essere eseguito mentre il controller di dominio rimane online.
• Consente una Recovery selettiva e granulare di oggetti specifici.
• Limitato agli oggetti ancora entro il periodo di conservazione.
• Conserva la maggior parte degli attributi degli oggetti quando si utilizza il Cestino.

1. La necessità di un piano formale di Recovery di emergenza, di cui all’epoca dell’attacco l’azienda era sprovvista.
2. L’importanza di mantenere l’infrastruttura di backup critica separata dal dominio per impedire la crittografia durante un attacco.
3. Il valore dell’implementazione della protezione air gap per il proprio ambiente ibrido.

A seguito dell’attacco, BBio ha implementato diversi miglioramenti alla propria strategia di protezione dei dati, tra cui lo sviluppo di un piano di Recovery completo che dia priorità ai sistemi critici e stabilisca una chiara sequenza di Recovery. Ha inoltre rafforzato la propria protezione contro il ransomware implementando la protezione air gap per il proprio ambiente cloud ibrido e on-premise.

“With proper protection, we can easily manage, protect, and recover data in the cloud and on-premises, even in the worst-case scenario,” said Vries, reflecting the company’s renewed confidence in its data resilience strategy.

Commvault delivers comprehensive protection for ambienti AD through automated backup and recovery solutions for both on-premises and cloud-based deployments. The platform’s intelligent automation capabilities minimize administrative overhead while maximizing data protection, creating consistent, application-aware backups that maintain the integrity of the AD database and its objects.

While the native Active Directory Recycle Bin provides basic recovery capabilities, Commvault complements and extends these features with enhanced recovery workflows. Commvault’s solutions offer simplified, guided recovery processes that reduce the technical complexity often associated with AD restoration, enabling even less experienced administrators to perform successful recoveries with confidence.

Commvault’s granular restore capabilities allow administrators to recover specific AD objects, attributes, or entire organizational units without disrupting the broader environment. This precision helps minimize downtime during recovery operations while maintaining business continuity throughout the process. The platform also maintains detailed recovery logs and audit trails, supporting compliance requirements and providing documentation for regulatory purposes.

La protezione di AD richiede una strategia completa che vada oltre gli strumenti nativi e le soluzioni di backup di base. Le organizzazioni hanno bisogno di soluzioni robuste e automatizzate che proteggano i dati di Active Directory in ambienti ibridi, garantendo al contempo un Recovery rapido quando necessario. Implementando sia il Cestino di Active Directory che soluzioni di backup di livello aziendale, le organizzazioni creano più livelli di protezione per la loro infrastruttura critica di identità.

We understand the critical role AD plays in your organization’s operations. Richiedi una demo to see how we can help protect your AD environment.