Windows Server 2025 / Mengaktifkan AD Recycle Bin dan memulihkan objek uji

Recycle Bin pada Active Directory (AD), layanan direktori domain, dapat memulihkan objek yang memenuhi syarat dan dihapus setelah fitur diaktifkan, termasuk atribut serta keanggotaan grupnya. Aktivasi berlaku untuk seluruh forest, yaitu kumpulan domain yang berbagi skema dan konfigurasi direktori, dan tidak dapat dibatalkan. Fitur ini tidak menggantikan cadangan untuk semua skenario pemulihan.

Periksa cakupan dan syarat pemulihan

Objek yang dapat dipulihkan mencakup pengguna, grup, dan Organizational Unit (OU), wadah organisasi dalam direktori. Fitur ini tidak memulihkan dokumen server file, seluruh folder bersama SYSVOL yang mendistribusikan kebijakan dan skrip domain, atau sistem operasi. Panduan AD Recycle Bin menjelaskan cakupannya. Objek yang dihapus sebelum aktivasi tidak menjadi dapat dipulihkan hanya karena fitur kemudian diaktifkan.

Gunakan hanya forest laboratorium terisolasi ad.example.test dengan pengontrol domain DC1 dan DC2 yang sehat, cadangan yang dapat digunakan, serta akun yang memang berwenang mengubah forest. Panduan teknis lanjutan menyebut Enterprise Admins untuk operasi ini; administrator lokal komputer bukan kewenangan yang sama. Siapkan Active Directory Administrative Center (ADAC), pusat administrasi direktori, dan modul PowerShell ActiveDirectory pada pengontrol atau melalui Remote Server Administration Tools (RSAT), alat administrasi server jarak jauh. Panduan aktivasi mensyaratkan tingkat fungsional forest dan domain minimal Windows Server 2008 R2. Periksa nilai sebenarnya, bukan menyimpulkannya dari sistem operasi Windows Server 2025. Kueri berikut hanya memeriksa keadaan awal:

Get-ADForest | Select-Object RootDomain,ForestMode
Get-ADOptionalFeature -Filter "Name -eq 'Recycle Bin Feature'" | Select-Object Name,EnabledScopes
repadmin /replsummary

RootDomain harus menunjukkan forest laboratorium dan ForestMode tingkat fungsionalnya. Periksa juga DomainMode melalui Get-ADDomain; properti itu tidak ditampilkan oleh pilihan kolom pertama. DomainNamingMaster dapat dilihat melalui Get-ADForest untuk mengetahui pemegang peran penamaan domain saat mendiagnosis aktivasi; jangan selalu menganggap DC1 pemiliknya. EnabledScopes kosong berarti kueri tidak menunjukkan cakupan aktif. Jika cakupan forest sudah ada, jangan aktifkan lagi. Referensi Get-ADOptionalFeature menjelaskan pemilihan pengontrol tertentu dengan -Server.

Aktifkan fitur melalui pusat administrasi

1. Buka dsac.exe pada DC1 atau komputer administrasi yang alatnya sudah terpasang. Periksa akun administrasi dan koneksi ke forest laboratorium.
2. Pilih domain ad.example.test yang tepat pada navigasi. Jika belum muncul, gunakan Manage → Add Navigation Nodes dan pilih domain laboratorium, bukan forest lain.
3. Di panel Tasks, pilih Enable Recycle Bin. Baca konfirmasi: perubahan berlaku untuk forest dan tidak dapat dibatalkan, bukan pengaturan sementara sesi.
4. Konfirmasikan hanya untuk laboratorium yang dimaksud dan perbarui ADAC dengan F5 saat diminta. Jangan mengaktifkan ulang fitur yang sudah aktif.
5. Periksa status aktif pada kedua pengontrol dan kesehatan replikasi. Jangan membuat objek latihan sebelum DC1 serta DC2 menerima konfigurasi.

Jika fitur sudah aktif, lewati aktivasi. Panduan teknis ADAC membahas persyaratan dan replikasi konfigurasi. Untuk memeriksa tiap pengontrol, ulangi kueri Get-ADOptionalFeature dengan menambahkan -Server DC1.ad.example.test, lalu DC2.ad.example.test, sebelum pipeline ke Select-Object. Keduanya harus menampilkan cakupan forest yang telah aktif. Satu kueri berhasil atau jendela yang diperbarui belum membuktikan keduanya sudah sama. Jika repadmin menunjukkan kesalahan atau hasil berbeda, selesaikan penyebabnya sebelum membuat dan menghapus objek uji. Jangan otomatis memindahkan peran direktori hanya untuk mengatasi menu tidak aktif.

Buat objek pemulihan khusus

Setelah aktivasi dan replikasi selesai, gunakan OU LabUsers di bawah Lab serta grup GG_LabUsers dari latihan pengguna, grup, dan OU. Pastikan recycle.lab belum ada sebagai pengguna aktif maupun objek terhapus dari percobaan lama. Jika nama sudah dipakai, jangan menggunakan atau menghapus objek tersebut tanpa memeriksa tujuannya. Buat hanya akun uji baru yang dinonaktifkan. Jalankan baris satu per satu di PowerShell administrasi dan berhenti bila pembuatan atau penambahan ke grup gagal; jangan melanjutkan dengan objek lama secara tidak sengaja:

New-ADUser -Name 'Recycle Lab User' -SamAccountName 'recycle.lab' -Path 'OU=LabUsers,OU=Lab,DC=ad,DC=example,DC=test' -Description 'Recycle bin practice only' -Enabled $false
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'recycle.lab'
$recycleTest = Get-ADUser -Identity 'recycle.lab' -Properties MemberOf
$recycleTest | Select-Object Name,ObjectGUID,SID,DistinguishedName,MemberOf

Catat Globally Unique Identifier (GUID), pengenal unik global, Security Identifier (SID), pengenal keamanan, DistinguishedName sebagai lokasi direktori, serta MemberOf. Hasil harus menunjuk tepat ke Recycle Lab User, recycle.lab, dan OU laboratorium, dengan GG_LabUsers sebagai keanggotaan langsung. Biarkan akun nonaktif; latihan ini tidak memerlukan kata sandi atau masuk sebagai akun tersebut. Membuat ulang nama yang sama tidak mempertahankan GUID dan SID lama. Pertahankan konsol serta catatan. Jika $recycleTest hilang, jangan mengarang pencarian luas untuk menghapus objek.

Hapus dan pulihkan hanya objek yang teridentifikasi

Sebelum menghapus, pastikan $recycleTest berisi satu objek yang baru dibuat dan ObjectGUID sesuai catatan. Jalankan baris berikut satu per satu. Pada konfirmasi Remove-ADUser, periksa identitas Recycle Lab User dan setujui hanya objek latihan itu. Setelah dihapus, kueri harus mengembalikan GUID yang sama dengan isDeleted=True dan lastKnownParent yang benar. Jika penghapusan atau kueri gagal, berhenti sebelum Restore-ADObject. Jangan mengalirkan pencarian wildcard ke perintah penghapusan:

Remove-ADUser -Identity $recycleTest.ObjectGUID -Confirm
Get-ADObject -Identity $recycleTest.ObjectGUID -IncludeDeletedObjects -Properties isDeleted,lastKnownParent | Select-Object Name,ObjectGUID,isDeleted,lastKnownParent
Restore-ADObject -Identity $recycleTest.ObjectGUID

Sebagai alternatif perintah pemulihan, buka Deleted Objects di ADAC, pilih hanya objek dengan GUID tercatat, lalu Restore. Referensi Restore-ADObject menjelaskan bahwa lastKnownParent digunakan jika TargetPath tidak ditentukan. Jika wadah induk hilang, pulihkan induk dahulu atau gunakan Restore To ke OU yang sesuai dan masih ada. Memulihkan OU saja tidak otomatis memulihkan seluruh turunannya. Tinjau konflik nama dan izin sebelum memindahkan lokasi; jangan menjalankan kedua alternatif tanpa memeriksa keadaan objek.

Bandingkan identitas setelah pemulihan

Get-ADUser -Identity 'recycle.lab' -Properties MemberOf,Enabled | Select-Object Name,ObjectGUID,SID,Enabled,DistinguishedName,MemberOf
Get-ADGroupMember -Identity 'GG_LabUsers'

Bandingkan semua nilai dengan catatan: GUID dan SID sama, lokasi sesuai, dan anggota GG_LabUsers. Enabled harus tetap False. Get-ADGroupMember menampilkan anggota langsung; pastikan recycle.lab ada, tanpa menganggap daftar keanggotaan sebagai uji akses file. Periksa DC1 serta DC2 secara terpisah dengan -Server pada setiap cmdlet sebelum Select-Object. Tunggu replikasi sehat dan bandingkan objek pada keduanya. Kueri terhadap pengontrol bawaan tidak membuktikan pengontrol lain sudah menerima pemulihan.

Retensi terbatas dan bergantung pada nilai forest sebenarnya, seperti msDS-deletedObjectLifetime serta tombstoneLifetime. Jangan menganggap satu durasi berlaku di semua lingkungan atau mengubahnya sebagai perbaikan cepat. Objek yang sudah beralih ke keadaan recycled tidak dipulihkan seperti objek terhapus yang masih tersedia dalam Recycle Bin. Periksa cadangan dan prosedur yang sesuai sebelum membuat akun bernama sama tetapi beridentitas berbeda. Setelah hasil dicatat, Anda dapat menghapus hanya akun uji yang telah diidentifikasi; jangan hapus OU atau GG_LabUsers. Menonaktifkan Recycle Bin bukan pilihan untuk membatalkan perubahan.