Windows Server 2025 / Active Directory 휴지통을 사용해 삭제된 계정을 복원하는 방법
Active Directory 휴지통은 활성화한 뒤 삭제된 AD 객체를 속성과 그룹 소속을 보존하여 복원하는 기능입니다. 포리스트에서 켜면 다시 끌 수 없으며, 활성화 전에 삭제한 항목이나 보존 범위를 벗어난 모든 데이터를 복구해 주는 백업 대체 수단은 아닙니다.
활성화 범위와 복구 조건을 먼저 확인합니다
휴지통은 파일 서버의 삭제 파일이 아니라 AD 사용자·그룹·OU 같은 디렉터리 객체를 다룹니다. 파일 데이터·SYSVOL 전체·서버 OS를 복원하는 기능과 구분하세요. AD 휴지통 안내는 활성화가 되돌릴 수 없는 변경이며 활성화 이후 삭제한 객체에 적용된다고 설명합니다.
포리스트의 기능 수준과 복제 상태, 백업과 변경 권한을 확인합니다. 운영 환경은 포리스트 변경을 승인받은 Enterprise Admins 등 적절한 권한으로 계획된 시간에 수행합니다. 이 강좌는 격리된 새 실습 포리스트를 대상으로 합니다.
Get-ADForest | Select-Object RootDomain,ForestMode Get-ADOptionalFeature -Filter "Name -eq 'Recycle Bin Feature'" | Select-Object Name,EnabledScopes repadmin /replsummary
AD 관리 센터에서 휴지통을 켭니다
- DC1 또는 관리 PC에서 Active Directory 관리 센터(dsac.exe)를 실행합니다.
- 대상 도메인·포리스트가 ad.example.test인지 확인합니다.
- 작업 창의 휴지통 사용을 선택하고 되돌릴 수 없다는 확인 메시지를 읽습니다.
- 실습 포리스트에 적용한 뒤 관리 센터를 새로 고칩니다.
- 두 DC 사이에 구성 변경이 복제되었는지 확인합니다.
이미 활성화됐다면 다시 켤 필요가 없습니다. 메뉴가 비활성화된 원인은 현재 상태·기능 수준·권한을 나누어 확인하세요. AD 관리 센터의 휴지통 설명처럼 복제 완료 조건도 중요합니다. 활성화 직후 모든 DC에서 바로 같은 상태라고 가정하지 않습니다.
복구용 시험 계정을 새로 만듭니다
실제 사용자나 관리 계정을 지우지 않고 휴지통 활성화·복제를 확인한 뒤 새 비활성 계정을 만듭니다. 이름 recycle.lab이 기존에 없고 LabUsers OU·GG_LabUsers 그룹이 있는 환경에서 관리자 AD 셸로 실행합니다.
New-ADUser -Name 'Recycle Lab User' -SamAccountName 'recycle.lab' -Path 'OU=LabUsers,OU=Lab,DC=ad,DC=example,DC=test' -Description 'Recycle bin practice only' -Enabled $false Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'recycle.lab' $recycleTest = Get-ADUser -Identity 'recycle.lab' -Properties MemberOf $recycleTest | Select-Object Name,ObjectGUID,SID,DistinguishedName,MemberOf
계정은 로그인 목적이 아니므로 활성화하지 않았습니다. 객체 GUID·SID·원래 OU와 그룹 소속을 기록합니다. 표시 이름만 같게 재생성하는 것과 원래 객체를 복구하는 것의 차이를 확인하기 위한 정보입니다.
지정한 시험 객체만 삭제하고 복구합니다
아래 삭제 명령은 앞에서 변수에 보관한 시험 객체의 GUID 하나만 대상으로 하며 확인을 요구합니다. 같은 세션에서 출력한 이름이 Recycle Lab User인지 검토한 뒤 진행하세요. 광범위한 검색 결과를 Remove-ADUser로 연결하지 않습니다.
Remove-ADUser -Identity $recycleTest.ObjectGUID -Confirm Get-ADObject -Identity $recycleTest.ObjectGUID -IncludeDeletedObjects -Properties isDeleted,lastKnownParent | Select-Object Name,ObjectGUID,isDeleted,lastKnownParent Restore-ADObject -Identity $recycleTest.ObjectGUID
GUI에서는 관리 센터의 Deleted Objects에서 해당 계정을 찾아 복원을 선택할 수 있습니다. 원래 부모 OU가 존재하지 않는 등 조건이 다르면 부모부터 복원하거나 적절한 위치를 지정해야 합니다. 복구 위치와 같은 이름의 충돌도 확인하세요.
객체 식별자와 그룹 소속을 비교합니다
Get-ADUser -Identity 'recycle.lab' -Properties MemberOf,Enabled | Select-Object Name,ObjectGUID,SID,Enabled,DistinguishedName,MemberOf Get-ADGroupMember -Identity 'GG_LabUsers'
복구 전 기록한 GUID·SID, OU와 그룹 소속이 유지됐는지 확인합니다. 계정을 비활성으로 만들었으므로 복구 후에도 비활성인 것이 예상 결과입니다. DC1·DC2의 복제 후에도 같은 객체가 보이는지 확인하세요.
휴지통은 보존 기간이 지난 객체를 무기한 복구하지 않습니다. 복구되지 않는다고 같은 이름의 새 계정을 바로 만들면 원래 식별자와 권한을 잃을 수 있으므로 다른 백업·복구 방법을 검토합니다. 실습 후 계정이 필요 없으면 확인한 시험 객체만 정리할 수 있지만 휴지통 기능 자체를 끄는 원복은 할 수 없습니다.
