Windows Server 2025 / Activer la Corbeille Active Directory et restaurer un compte de test

La Corbeille Active Directory peut restaurer les objets supprimés après son activation avec leurs attributs et leurs appartenances aux groupes. Son activation s'applique à toute la forêt et ne peut pas être annulée. Elle ne remplace pas les sauvegardes pour tous les scénarios de récupération.

Vérifiez la portée et les conditions de récupération

Cette fonction récupère des objets Active Directory comme les utilisateurs, les groupes ou les unités d'organisation (UO). Elle ne restaure ni les fichiers d'un serveur, ni tout SYSVOL, ni le système d'exploitation. La documentation Microsoft sur la Corbeille Active Directory détaille son activation et les objets concernés.

Vérifiez le niveau fonctionnel de la forêt, la réplication, les sauvegardes et les droits nécessaires à la modification. En production, l'activation exige une décision planifiée à l'échelle de la forêt ; l'exercice ci-dessous est réservé à un laboratoire isolé.

Get-ADForest | Select-Object RootDomain,ForestMode
Get-ADOptionalFeature -Filter "Name -eq 'Recycle Bin Feature'" | Select-Object Name,EnabledScopes
repadmin /replsummary

Activez la Corbeille dans le Centre d'administration

1. Ouvrez dsac.exe sur DC1 ou sur le poste d'administration.
2. Confirmez que la forêt sélectionnée est bien ad.example.test.
3. Choisissez Activer la Corbeille et lisez l'avertissement sur le caractère irréversible du changement.
4. Confirmez seulement pour la forêt du laboratoire, puis actualisez la console.
5. Vérifiez que le changement de configuration s'est répliqué sur les deux contrôleurs de domaine.

Si la Corbeille est déjà active, n'essayez pas de la réactiver. Une commande grisée peut aussi signaler un niveau fonctionnel ou des droits insuffisants. Consultez la documentation du Centre d'administration Active Directory et attendez la réplication avant de tester la restauration.

Créez un objet de récupération dédié

Après l'activation et la réplication, créez un compte de test désactivé nommé recycle.lab, uniquement si ce nom est libre. L'UO LabUsers et le groupe GG_LabUsers doivent déjà exister. N'utilisez ni compte réel ni compte administrateur :

New-ADUser -Name 'Recycle Lab User' -SamAccountName 'recycle.lab' -Path 'OU=LabUsers,OU=Lab,DC=ad,DC=example,DC=test' -Description 'Recycle bin practice only' -Enabled $false
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'recycle.lab'
$recycleTest = Get-ADUser -Identity 'recycle.lab' -Properties MemberOf
$recycleTest | Select-Object Name,ObjectGUID,SID,DistinguishedName,MemberOf

Notez l'identifiant global unique (GUID), l'identifiant de sécurité (SID), l'UO et les appartenances du compte. Il reste volontairement désactivé car personne ne doit s'y connecter. Recréer plus tard un compte de même nom ne lui rendrait pas la même identité.

Supprimez et restaurez seulement l'objet identifié

Dans la même session, utilisez uniquement le GUID noté. À la demande de confirmation, vérifiez que l'objet affiché est bien Recycle Lab User ; n'envoyez jamais les résultats d'une recherche large directement à la suppression :

Remove-ADUser -Identity $recycleTest.ObjectGUID -Confirm
Get-ADObject -Identity $recycleTest.ObjectGUID -IncludeDeletedObjects -Properties isDeleted,lastKnownParent | Select-Object Name,ObjectGUID,isDeleted,lastKnownParent
Restore-ADObject -Identity $recycleTest.ObjectGUID

Dans le Centre d'administration, vous pouvez aussi utiliser Objets supprimés. Si l'UO d'origine a disparu, restaurez-la d'abord ou choisissez un autre emplacement approprié. Vérifiez les conflits de noms avant la récupération.

Comparez l'identité après restauration

Get-ADUser -Identity 'recycle.lab' -Properties MemberOf,Enabled | Select-Object Name,ObjectGUID,SID,Enabled,DistinguishedName,MemberOf
Get-ADGroupMember -Identity 'GG_LabUsers'

Comparez le GUID, le SID, l'emplacement et les appartenances avec les valeurs enregistrées avant la suppression. Le compte doit rester désactivé et, après réplication, les deux contrôleurs doivent voir le même objet.

La durée de conservation des objets supprimés est limitée. Si la restauration n'est plus possible, examinez les sauvegardes adaptées avant de recréer un compte de même nom mais d'identité différente. Vous pouvez ensuite supprimer uniquement l'objet créé pour ce test ; il n'existe pas de procédure pour désactiver la Corbeille après son activation.