Windows Server 2025 / AD-Papierkorb aktivieren und ein Testobjekt wiederherstellen

Der Papierkorb von Active Directory (AD), dem Verzeichnisdienst der Domäne, kann geeignete Objekte wiederherstellen, die nach seiner Aktivierung gelöscht wurden, einschließlich ihrer Attribute und Gruppenmitgliedschaften. Die Aktivierung gilt für die gesamte Gesamtstruktur und lässt sich nicht rückgängig machen. Sie ersetzt keine Sicherung für sämtliche Wiederherstellungsszenarien.

Umfang und Wiederherstellungsbedingungen prüfen

Wiederherstellbar sind Verzeichnisobjekte wie Benutzer, Gruppen und Organisationseinheiten (OU), nicht Dokumente des Dateiservers, die gesamte SYSVOL-Freigabe mit Domänenrichtlinien und Skripten oder das Betriebssystem. Die Dokumentation zum AD-Papierkorb erläutert den Umfang. Vor der Aktivierung gelöschte Objekte werden durch späteres Einschalten nicht nachträglich wiederherstellbar.

Verwenden Sie ausschließlich die isolierte Gesamtstruktur ad.example.test mit fehlerfrei arbeitenden DC1 und DC2, verwendbaren Sicherungen und einem bereits für Gesamtstrukturänderungen berechtigten Konto. Die erweiterte Dokumentation nennt dafür Enterprise Admins; lokale Administratorrechte eines Computers sind damit nicht gleichzusetzen. Benötigt werden das Active Directory-Verwaltungscenter (ADAC) und das ActiveDirectory-PowerShell-Modul auf einem Controller oder über die Remoteserver-Verwaltungstools (RSAT). Die Aktivierungsanleitung verlangt Domänen- und Gesamtstrukturfunktionsebenen ab Windows Server 2008 R2. Prüfen Sie die tatsächlichen Ebenen, statt aus dem installierten Windows Server 2025 darauf zu schließen. Fragen Sie zuerst nur den Zustand ab:

Get-ADForest | Select-Object RootDomain,ForestMode
Get-ADOptionalFeature -Filter "Name -eq 'Recycle Bin Feature'" | Select-Object Name,EnabledScopes
repadmin /replsummary

RootDomain muss die Labor-Gesamtstruktur und ForestMode ihre Funktionsebene angeben. Prüfen Sie zusätzlich DomainMode über Get-ADDomain; die erste Spaltenauswahl enthält diese Eigenschaft nicht. DomainNamingMaster können Sie mit Get-ADForest abfragen, um bei Aktivierungsproblemen den aktuellen Inhaber der Domänennamenrolle zu bestimmen; setzen Sie nicht pauschal DC1 voraus. Leeres EnabledScopes zeigt keinen aktivierten Bereich in dieser Abfrage. Enthält es bereits den Gesamtstrukturbereich, aktivieren Sie nicht erneut. Die Referenz zu Get-ADOptionalFeature beschreibt die gezielte Controllerabfrage mit -Server.

Die Funktion im Verwaltungscenter aktivieren

1. Öffnen Sie dsac.exe auf DC1 oder dem Verwaltungscomputer mit installierten Werkzeugen. Prüfen Sie das administrative Konto und die Verbindung zur Labor-Gesamtstruktur.
2. Wählen Sie in der Navigation die richtige Domäne ad.example.test. Fehlt sie, verwenden Sie Verwalten → Navigationsknoten hinzufügen und wählen die Labordomäne, nicht eine andere Gesamtstruktur.
3. Wählen Sie im Aufgabenbereich Papierkorb aktivieren. Lesen Sie die Bestätigung: Dies ist eine irreversible Änderung der Gesamtstruktur und keine vorübergehende Sitzungseinstellung.
4. Bestätigen Sie nur für das vorgesehene Labor und aktualisieren Sie ADAC mit F5, sobald Sie dazu aufgefordert werden. Wiederholen Sie die Aktivierung nicht, wenn sie bereits erfolgt ist.
5. Prüfen Sie den aktivierten Zustand auf beiden Controllern und die Replikationsgesundheit. Erstellen Sie das Übungsobjekt erst, wenn DC1 und DC2 die Konfiguration erhalten haben.

Ist der Papierkorb bereits aktiv, überspringen Sie die Aktivierung. Die technische ADAC-Dokumentation erläutert Voraussetzungen und die notwendige Replikation. Wiederholen Sie die Get-ADOptionalFeature-Abfrage für jeden Controller, indem Sie vor der Pipeline zu Select-Object -Server mit DC1.ad.example.test beziehungsweise DC2.ad.example.test ergänzen. Beide müssen den aktivierten Bereich der Gesamtstruktur anzeigen. Eine erfolgreiche Einzelabfrage oder aktualisierte Konsole beweist keine Konvergenz. Bei Replikationsfehlern oder unterschiedlichen Zuständen beheben Sie zuerst die Ursache. Verschieben Sie nicht automatisch Verzeichnisrollen, nur weil ein Menüpunkt ausgegraut ist.

Ein eigenes Wiederherstellungsobjekt erstellen

Verwenden Sie erst nach Aktivierung und Replikation die OU LabUsers unter Lab und die Gruppe GG_LabUsers aus der Übung zu Benutzern, Gruppen und Organisationseinheiten. Prüfen Sie, dass recycle.lab weder als aktiver Benutzer noch als gelöschtes Objekt einer früheren Übung vorhanden ist. Bei einem belegten Namen verwenden oder löschen Sie das gefundene Objekt nicht ungeprüft. Erstellen Sie nur ein neues deaktiviertes Übungskonto. Führen Sie die Zeilen in einer administrativen PowerShell einzeln aus und halten Sie bei Fehlern der Erstellung oder Gruppenzuordnung an; arbeiten Sie nicht versehentlich mit einem alten Objekt weiter:

New-ADUser -Name 'Recycle Lab User' -SamAccountName 'recycle.lab' -Path 'OU=LabUsers,OU=Lab,DC=ad,DC=example,DC=test' -Description 'Recycle bin practice only' -Enabled $false
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'recycle.lab'
$recycleTest = Get-ADUser -Identity 'recycle.lab' -Properties MemberOf
$recycleTest | Select-Object Name,ObjectGUID,SID,DistinguishedName,MemberOf

Notieren Sie die global eindeutige Kennung (GUID), die Sicherheitskennung (Security Identifier, SID), den DistinguishedName als eindeutige Verzeichnisposition und MemberOf. Die Ausgabe muss genau zu Recycle Lab User, recycle.lab und der Labor-OU gehören und GG_LabUsers als direkte Mitgliedschaft enthalten. Lassen Sie das Konto deaktiviert: Für diese Übung braucht es weder ein Kennwort noch eine Anmeldung. Ein neu erstellter Benutzer mit gleichem Namen hätte andere GUID- und SID-Werte. Behalten Sie dieselbe Konsole und die Aufzeichnung. Ist $recycleTest verloren, improvisieren Sie keine breite Suche für eine Löschung.

Nur das identifizierte Objekt löschen und wiederherstellen

Prüfen Sie vor dem Löschen, dass $recycleTest genau das neu erstellte Objekt enthält und ObjectGUID Ihrer Aufzeichnung entspricht. Führen Sie die folgenden Zeilen einzeln aus. Kontrollieren Sie bei Remove-ADUser die angezeigte Identität Recycle Lab User und bestätigen Sie nur dieses Übungsobjekt. Nach dem Löschen muss die Abfrage dieselbe GUID mit isDeleted=True und dem erwarteten lastKnownParent liefern. Bei einem Fehler halten Sie vor Restore-ADObject an. Leiten Sie keine Suche mit Platzhaltern an einen Löschbefehl weiter:

Remove-ADUser -Identity $recycleTest.ObjectGUID -Confirm
Get-ADObject -Identity $recycleTest.ObjectGUID -IncludeDeletedObjects -Properties isDeleted,lastKnownParent | Select-Object Name,ObjectGUID,isDeleted,lastKnownParent
Restore-ADObject -Identity $recycleTest.ObjectGUID

Alternativ zur Befehlswiederherstellung öffnen Sie in ADAC Gelöschte Objekte, wählen ausschließlich das Objekt mit der dokumentierten GUID und dann Wiederherstellen. Die Referenz zu Restore-ADObject erklärt, dass ohne TargetPath lastKnownParent verwendet wird. Fehlt der übergeordnete Container, stellen Sie ihn zuerst wieder her oder verwenden Wiederherstellen in für eine passende vorhandene OU. Das Wiederherstellen einer OU bringt nicht automatisch ihre gesamten Unterobjekte zurück. Prüfen Sie Namenskonflikte und Rechte vor einem Ortswechsel. Führen Sie nicht beide Alternativen aus, ohne den aktuellen Zustand zu prüfen.

Die wiederhergestellte Identität vergleichen

Get-ADUser -Identity 'recycle.lab' -Properties MemberOf,Enabled | Select-Object Name,ObjectGUID,SID,Enabled,DistinguishedName,MemberOf
Get-ADGroupMember -Identity 'GG_LabUsers'

Vergleichen Sie alle Werte mit der Aufzeichnung: gleiche GUID und SID, erwartete Position und Mitgliedschaft in GG_LabUsers. Enabled muss weiterhin False sein. Get-ADGroupMember zeigt direkte Gruppenmitglieder; bestätigen Sie recycle.lab, ohne eine Mitgliedschaftsliste als Dateizugriffstest zu behandeln. Prüfen Sie DC1 und DC2 getrennt mit -Server am jeweiligen Cmdlet vor Select-Object. Warten Sie fehlerfreie Replikation ab und vergleichen Sie dasselbe Objekt auf beiden Controllern; eine Abfrage des Standardcontrollers beweist nicht den Stand des anderen.

Die Aufbewahrung ist begrenzt und richtet sich nach tatsächlichen Gesamtstrukturwerten wie msDS-deletedObjectLifetime und tombstoneLifetime. Unterstellen Sie keine einheitliche Frist und ändern Sie diese Werte nicht als schnelle Reparatur. Bereits in den Zustand „recycled“ übergegangene Objekte lassen sich nicht wie die noch wiederherstellbaren gelöschten Objekte zurückholen. Prüfen Sie geeignete Sicherungen und Verfahren, bevor Sie ein anders identifiziertes gleichnamiges Konto neu anlegen. Nach Dokumentation dürfen Sie nur das identifizierte Übungskonto entfernen, nicht dessen OU oder GG_LabUsers. Ein Abschalten des Papierkorbs steht als Rücknahme nicht zur Verfügung.