Lixeira do Active Directory

A Lixeira do Active Directory funciona de maneira semelhante à Lixeira do Windows em computadores de mesa, integrando-se perfeitamente às operações padrão do AD para fornecer um mecanismo de Recovery de objetos excluídos.

Quando ativado, esse recurso preserva os objetos excluídos em um estado recuperável, mantendo seus valores de atributos e associações a grupos para facilitar a restauração. Os administradores podem acessar essa funcionalidade tanto pelo Centro de Administração do Active Directory (ADAC) quanto pelo PowerShell, tornando-a acessível independentemente da preferência de gerenciamento.

In AD environments, deleted objects transition through two distinct states: “deleted” and “recycled.” In the deleted state, most object attributes remain intact and recoverable, while in the recycled state, most attributes are stripped away, making recovery significantly more difficult. Without the Active Directory Recycle Bin enabled, objects immediately enter a “tombstone” state, where many attributes are permanently lost, complicating recovery efforts.

Para florestas legadas do Windows Server, o recurso Lixeira do Active Directory está desativado por padrão e requer ativação explícita. O recurso tornou-se disponível pela primeira vez no Windows Server 2008 R2, mas requer um nível funcional de floresta de, no mínimo, Windows Server 2008 R2 para ser implementado. Uma vez ativado, a alteração se aplica a toda a floresta e não pode ser revertida, tornando essencial um planejamento adequado antes da ativação.

Active Directory (AD) serves as the backbone of identity management for countless organizations worldwide, with its database containing critical user accounts, groups, and security policies. The accidental deletion of these objects can disrupt business operations and create significant administrative challenges without proper recovery mechanisms in place.

O recurso Lixeira do Active Directory oferece aos administradores uma rede de segurança, permitindo a restauração rápida de objetos excluídos sem a necessidade de procedimentos complexos de restauração de backup. Essa funcionalidade preserva todos os atributos dos objetos e associações a grupos, simplificando drasticamente o que antes era um processo de Recovery tedioso.

Organizations that implement the Active Directory Recycle Bin gain operational resilience against common administrative errors while maintaining business continuity. The feature represents a critical component of any comprehensive de gerenciamento do AD strategy, particularly for enterprises that cannot afford extended downtime or data loss.

1. Faça login em um controlador de domínio com uma conta que possua privilégios de Administrador Corporativo.
2. Abra o ADAC.
3. In the navigation pane, right-click on the domain name and select “Raise Forest Functional Level” if not already at Windows Server 2008 R2 or higher.
4. Navegue até o domínio raiz da floresta no ADAC.
5. In the Tasks pane, click “Enable Recycle Bin.”
6. Leia a mensagem de aviso sobre a natureza irreversível dessa ação.
7. Click “OK” to confirm and enable the feature.
8. Aguarde até que a replicação seja concluída em todos os controladores de domínio.

Como alternativa, os administradores podem usar o PowerShell para habilitar esse recurso com o seguinte comando:

Enable-ADOptionalFeature -Identity ‘Recycle Bin Feature’ -Scope ForestOrConfigurationSet -Target

O monitoramento das configurações de tombstone e retenção desempenha um papel crucial no sucesso das operações de recuperação de dados. O período de retenção padrão para objetos excluídos é de 180 dias, mas isso pode ser personalizado para se alinhar aos requisitos organizacionais e às necessidades de conformidade. A verificação regular dessas configurações ajuda a manter os recursos de recuperação ideais e a evitar a perda inesperada de dados devido ao vencimento dos períodos de retenção.

A documentação constitui a base de procedimentos de Recovery eficazes. Ao restaurar contas excluídas, os administradores devem manter registros detalhados do processo de Recovery, incluindo a verificação de associações a grupos, permissões de segurança e outros atributos críticos. Essa documentação serve tanto como trilha de auditoria quanto como referência para futuras operações de Recovery, reduzindo o risco de restaurações incompletas.

Testes regulares tanto da funcionalidade da Lixeira quanto das soluções tradicionais de backup validam os recursos de Recovery e identificam possíveis problemas antes que eles afetem cenários reais de Recovery. Esses testes devem simular vários cenários de exclusão e requisitos de Recovery para fornecer uma validação abrangente dos procedimentos de Recovery.

Recovery com o Windows Server Backup:

• Exige que o controlador de domínio seja colocado offline durante a Recovery.
• Restaura todo o estado do sistema, incluindo o banco de dados do AD.
• É mais demorado, mas recupera objetos independentemente do período de retenção.
• Exige um manuseio cuidadoso da restauração autoritativa/não autoritativa.

Recovery pelo PowerShell:

• Pode ser realizada enquanto o controlador de domínio permanece online.
• Permite a recuperação seletiva e granular de objetos específicos.
• Limitada a objetos que ainda estejam dentro do período de retenção.
• Preserva a maioria dos atributos dos objetos ao usar a Lixeira.

1. A necessidade de um plano formal de Recovery de desastres, que não existia no momento do ataque.
2. A importância de manter a infraestrutura crítica de backup separada do domínio para evitar a criptografia durante um ataque.
3. O valor de implementar proteção por isolamento físico (air gap) para seu ambiente híbrido.

Após o ataque, a BBio implementou várias melhorias em sua estratégia de proteção de dados, incluindo o desenvolvimento de um plano abrangente de Recovery de desastres que prioriza sistemas críticos e estabelece uma sequência clara de Recovery. A empresa também reforçou sua proteção contra ransomware ao implementar a proteção por “air gap” para seu ambiente híbrido de nuvem e local.

“With proper protection, we can easily manage, protect, and recover data in the cloud and on-premises, even in the worst-case scenario,” said Vries, reflecting the company’s renewed confidence in its data resilience strategy.

Commvault delivers comprehensive protection for Ambientes de publicidade through automated backup and recovery solutions for both on-premises and cloud-based deployments. The platform’s intelligent automation capabilities minimize administrative overhead while maximizing data protection, creating consistent, application-aware backups that maintain the integrity of the AD database and its objects.

While the native Active Directory Recycle Bin provides basic recovery capabilities, Commvault complements and extends these features with enhanced recovery workflows. Commvault’s solutions offer simplified, guided recovery processes that reduce the technical complexity often associated with AD restoration, enabling even less experienced administrators to perform successful recoveries with confidence.

Commvault’s recursos de restauração granular allow administrators to recover specific AD objects, attributes, or entire organizational units without disrupting the broader environment. This precision helps minimize downtime during recovery operations while maintaining business continuity throughout the process. The platform also maintains detailed recovery logs and audit trails, supporting compliance requirements and providing documentation for regulatory purposes.

A proteção do Active Directory requer uma estratégia abrangente que vá além das ferramentas nativas e das soluções básicas de backup. As organizações precisam de soluções robustas e automatizadas que protejam os dados do Active Directory em ambientes híbridos, ao mesmo tempo em que ofereçam suporte à recuperação rápida quando necessário. Ao implementar tanto a Lixeira do Active Directory quanto soluções de backup de nível empresarial, as organizações criam múltiplas camadas de proteção para sua infraestrutura crítica de identidades.

We understand the critical role AD plays in your organization’s operations. Solicite uma demonstração to see how we can help protect your AD environment.