Arbeiten mit dem Papierkorb des Active Directory unter Windows Server 2008 R2

Anbieter zum Thema

Yorizon GmbH & Co. KG

Microsoft Deutschland GmbH

Aktivierung kann nicht rückgängig gemacht werden!

Allerdings ist dieser Papierkorb grundsätzlich nach der Installation des Servers nicht aktiviert und muss vom Administrator eingeschaltet werden. Das mag zunächst wie eine einfache Aktion klingen, doch ist dieses Aktivieren des Papierkorbs grundsätzlich nicht mehr umkehrbar! Zudem geht Microsoft davon aus, dass ein solches Feature nur von wirklich erfahrenen Administratoren ausgeführt wird, und stellt zur Aktivierung nur einige PowerShell-Befehle zur Verfügung.

Dadurch benötigt das Einschalten des Papierkorbs auf dem Server nicht nur einen simplen Klick sondern eine ganze Reihe von Aktionen. Administratoren sollten deshalb unbedingt die entsprechenden „Hausaufgaben erledigen“, bevor sie dieses Feature im AD des Windows Servers 2008 R2 einschalten.

Nähere Informationen dazu stellt Microsoft in einem detaillierten Technet-Beitrag bereit. Weiterhin ist es zum Einsatz des Papierkorbs innerhalb einer AD-Struktur notwendig, dass alle Domänencontroller in dieser Struktur mindestens mit dem Windows Server 2008 R2 arbeiten. Das ist deshalb notwendig, weil das Funktionieren des Papierkorbs auf Schemaerweiterungen und damit auch neue Attribute im AD aufbaut, die erst aber dieser Server-Version zur Verfügung stehen.

Wenn der Papierkorb dann einmal aktiviert ist, werden die Objekte nicht mehr direkt gelöscht, sondern – wie bei allen Papierkörben üblich – nur noch als gelöscht gekennzeichnet. Das Active-Directory stellt dafür einen speziellen Container bereit, der die Bezeichnung „deleted objects“ trägt. Auch die Wiederherstellung der Objekte aus diesem Container erfolgt standardmäßig ohne eine grafische Oberfläche und wird mit Hilfe von speziellen Kommandos der PowerShell erledigt.

Ein weiteres neues Attribut mit der Bezeichnung „Deleted Object Lifetime“ legt dabei fest, wie viele Tage ein solches gelöschtes Objekt aus dem Papierkorb wiederhergestellt werden kann. Genau wie der bei den früheren Windows-Server-Versionen vorhandene Wert der Tombstone-Lifetime, wurde auch diese Zeitspanne zur Wiederherstellung gelöschter Objekte standardmäßig auf 180 Tage festgelegt. Dieser Wert kann aber vom Administrator entsprechend geändert werden.

Grundsätzliche Vorsichtsmaßnahmen

Zum Abschluss dieser Übersicht zum Thema Wiederherstellung von AD-Objekten muss noch einmal betont werden, dass Aktionen wie das versehentliche Löschen von Objekten in der AD unter normalen Umständen nicht vorkommen sollten.

Haben die Systembetreuer die Struktur der Organisationseinheiten (OU – Organizational Units) gut durchdacht und richtig organisiert, sowie sie mit entsprechend delegierten Zugriffsrechten und Sicherheitsberechtigungen ausgestattet, sollten solche Ereignisse zuverlässig zu verhindern sein. Will man es grundsätzlich verhindern, dass die Systemadministratoren jemals in die Verlegenheit kommen, gelöschte AD-Objekte wiederherstellen zu müssen, so sollten die Zugriffsrechte auf AD-Objekte stark eingeschränkt werden. Dazu kann dabei dann auch ein weiteres neues Feature des Windows Servers 2008 zum Einsatz kommen, das unter dem Zweig „Active Directory-Benutzer und-Computer“ im Server-Manager zu finden ist. Werden dort über „Ansicht“ die erweiterten Features eingeschaltet, so steht bei den Eigenschaften eines AD-Objekts auch der Reiter „Objekt“ zur Verfügung. Hier kann dann mittels einer speziellen Checkbox ein Feature des AD eingeschaltet werden, dass dieses entsprechende Objekt vor dem zufälligen Löschen schützt.

(ID:2046890)