Windows Server 2025 / Activar la Papelera de reciclaje de AD y restaurar un objeto de prueba

La Papelera de reciclaje de Active Directory (AD), el servicio de directorio del dominio, permite recuperar objetos aptos eliminados después de su activación, conservando atributos y pertenencias a grupos. Activarla afecta a todo el bosque y no se puede desactivar después. No sustituye las copias de seguridad ni cubre cualquier escenario de recuperación.

Compruebe el alcance y las condiciones de recuperación

Puede recuperar objetos como usuarios, grupos y unidades organizativas (OU), no documentos del servidor de archivos, toda la carpeta compartida SYSVOL que distribuye directivas y scripts del dominio, ni el sistema operativo. La guía de la Papelera de reciclaje de AD explica qué puede restaurarse. Un objeto eliminado antes de activar la función no se vuelve recuperable por activarla después.

Use únicamente el bosque aislado ad.example.test, con DC1 y DC2 saludables, copias utilizables y una cuenta ya autorizada para cambios de bosque. La documentación avanzada indica Enterprise Admins para esta operación; la administración local de un equipo no equivale a esa autorización. Necesita el Centro de administración de Active Directory (ADAC) y el módulo ActiveDirectory de PowerShell, en el controlador o mediante las Herramientas de administración remota del servidor (RSAT). La guía de activación pide niveles funcionales de bosque y dominio Windows Server 2008 R2 o posteriores: verifique los reales, no solo que el servidor ejecute Windows Server 2025. Consulte primero, sin activar nada:

Get-ADForest | Select-Object RootDomain,ForestMode
Get-ADOptionalFeature -Filter "Name -eq 'Recycle Bin Feature'" | Select-Object Name,EnabledScopes
repadmin /replsummary

RootDomain debe identificar el bosque del laboratorio y ForestMode su nivel funcional. Compruebe además DomainMode mediante Get-ADDomain: no aparece en la primera selección. Puede consultar DomainNamingMaster con Get-ADForest para identificar al titular del rol de nombres de dominio si necesita diagnosticar la activación; no presuponga que siempre sea DC1. EnabledScopes vacío indica que la consulta no muestra un ámbito habilitado; si ya contiene el ámbito del bosque, no vuelva a activar. La referencia de Get-ADOptionalFeature permite dirigir la consulta a un controlador concreto con -Server.

Active la función en el Centro de administración

1. Abra dsac.exe en DC1 o en el equipo de administración con ADAC y las herramientas instaladas. Compruebe la identidad administrativa y la conexión al bosque del laboratorio.
2. Seleccione el dominio ad.example.test correcto en la navegación. Si no aparece, use Administrar → Agregar nodos de navegación y seleccione el dominio del laboratorio; no actúe sobre otro bosque.
3. En el panel de tareas, elija Habilitar Papelera de reciclaje. Lea la confirmación: es un cambio irreversible de bosque, no un ajuste temporal de la sesión.
4. Confirme únicamente para el laboratorio previsto y actualice ADAC con F5 cuando lo indique. No repita la operación si la función ya estaba habilitada.
5. Compruebe el estado habilitado en ambos controladores y la salud de replicación. No cree el objeto de prueba hasta que DC1 y DC2 hayan recibido la configuración.

Si ya está activada, omita la activación. La guía técnica de ADAC distingue estado y requisitos, y advierte que hace falta replicar la configuración. Para comprobar cada controlador, repita la consulta Get-ADOptionalFeature agregando -Server con DC1.ad.example.test y después con DC2.ad.example.test, antes de la canalización a Select-Object. Ambas deben mostrar el ámbito habilitado del bosque. El éxito de una sola consulta o la actualización de la ventana no prueba convergencia; si repadmin muestra errores o un controlador discrepa, resuélvalo antes de crear y eliminar el objeto. No mueva roles de directorio como solución automática a un menú deshabilitado.

Cree un objeto de recuperación dedicado

Después de la activación y su replicación, use la OU LabUsers bajo Lab y el grupo GG_LabUsers de la práctica de usuarios, grupos y unidades organizativas. Compruebe que recycle.lab no existe, ni como usuario activo ni como objeto eliminado de una prueba anterior. Si el nombre está ocupado, no lo reutilice ni elimine el objeto encontrado: identifique primero su propósito. Cree solo una cuenta nueva deshabilitada para esta recuperación. Ejecute por líneas en PowerShell de administración y deténgase si falla la creación o la pertenencia al grupo; no continúe con un objeto antiguo:

New-ADUser -Name 'Recycle Lab User' -SamAccountName 'recycle.lab' -Path 'OU=LabUsers,OU=Lab,DC=ad,DC=example,DC=test' -Description 'Recycle bin practice only' -Enabled $false
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'recycle.lab'
$recycleTest = Get-ADUser -Identity 'recycle.lab' -Properties MemberOf
$recycleTest | Select-Object Name,ObjectGUID,SID,DistinguishedName,MemberOf

Registre el identificador globalmente único (GUID), el identificador de seguridad (SID), el nombre distintivo DistinguishedName que identifica su ubicación y MemberOf. La salida debe corresponder exactamente a Recycle Lab User, recycle.lab y la OU de laboratorio, con GG_LabUsers entre sus pertenencias directas. Mantenga la cuenta deshabilitada: no necesita contraseña ni iniciar sesión para este ejercicio. Recrear después un usuario con el mismo nombre no conservaría su GUID ni su SID. Conserve la misma consola y el registro; si se pierde $recycleTest, no improvise una búsqueda amplia para borrar.

Elimine y restaure solo el objeto identificado

Antes de borrar, confirme que $recycleTest contiene un único objeto recién creado y que su ObjectGUID coincide con el registro. Ejecute las líneas siguientes una a una. En la confirmación de Remove-ADUser revise la identidad Recycle Lab User y acepte solo para ese objeto de práctica. Después de borrar, la consulta debe devolver ese mismo GUID con isDeleted=True y el padre esperado en lastKnownParent. Si la eliminación o la consulta falla, deténgase antes de Restore-ADObject; no canalice una búsqueda con comodines hacia una eliminación:

Remove-ADUser -Identity $recycleTest.ObjectGUID -Confirm
Get-ADObject -Identity $recycleTest.ObjectGUID -IncludeDeletedObjects -Properties isDeleted,lastKnownParent | Select-Object Name,ObjectGUID,isDeleted,lastKnownParent
Restore-ADObject -Identity $recycleTest.ObjectGUID

Como alternativa a la restauración por comando, ADAC ofrece Objetos eliminados: seleccione exclusivamente el objeto con el GUID registrado y use Restaurar. La referencia de Restore-ADObject explica que, sin TargetPath, se usa lastKnownParent. Si falta el padre, restaure primero el contenedor o elija Restaurar en para una OU adecuada y existente; restaurar solo una OU no restaura automáticamente todos sus descendientes. Revise conflictos de nombre y permisos antes de cambiar la ubicación. No ejecute las dos alternativas sobre el mismo objeto sin comprobar su estado.

Compare la identidad restaurada

Get-ADUser -Identity 'recycle.lab' -Properties MemberOf,Enabled | Select-Object Name,ObjectGUID,SID,Enabled,DistinguishedName,MemberOf
Get-ADGroupMember -Identity 'GG_LabUsers'

Compare cada valor con el registro anterior: mismo GUID, mismo SID, ubicación esperada y pertenencia a GG_LabUsers. Enabled debe seguir siendo False. Get-ADGroupMember muestra miembros directos del grupo; confirme que incluye recycle.lab, sin confundir una lista de grupos con una prueba de acceso a archivos. Para comprobar DC1 y DC2, ejecute las consultas contra cada controlador usando el parámetro -Server en los cmdlets antes de Select-Object. Espere replicación correcta y compare el objeto en ambos; una consulta contra el controlador predeterminado no demuestra que el otro ya recibió la restauración.

La conservación es limitada y depende de los valores reales del bosque, como msDS-deletedObjectLifetime y tombstoneLifetime; no suponga un plazo universal ni cambie esos valores para resolver una restauración fallida. Los objetos que ya pasaron al estado reciclado no se recuperan como los objetos eliminados conservados por la Papelera. Si no está disponible la recuperación, investigue las copias y el procedimiento adecuado antes de recrear una identidad distinta con el mismo nombre. Para retirar la práctica, puede eliminar únicamente la cuenta de prueba identificada después de guardar los resultados; no elimine su OU ni GG_LabUsers. Desactivar la Papelera no es una reversión disponible.