Windows Server 2025 / Attivare il Cestino di AD e ripristinare un oggetto di prova

Il Cestino di Active Directory (AD), il servizio di directory del dominio, può ripristinare oggetti idonei eliminati dopo l'attivazione, conservando attributi e appartenenze ai gruppi. L'attivazione riguarda l'intera foresta e non può essere annullata. Non sostituisce i backup per tutti gli scenari di ripristino.

Verificare ambito e condizioni di ripristino

La funzione recupera oggetti quali utenti, gruppi e unità organizzative (OU), non documenti del file server, tutta la condivisione SYSVOL che distribuisce criteri e script del dominio o il sistema operativo. La guida al Cestino di AD ne descrive l'ambito. Attivarlo in seguito non rende recuperabili gli oggetti eliminati prima dell'attivazione.

Usi soltanto la foresta isolata ad.example.test, con DC1 e DC2 funzionanti, backup utilizzabili e un account già autorizzato alle modifiche della foresta. La guida tecnica avanzata indica Enterprise Admins per questa operazione: i privilegi di amministratore locale non equivalgono a tale autorizzazione. Servono il Centro di amministrazione di Active Directory (ADAC) e il modulo PowerShell ActiveDirectory sul controller o tramite gli Strumenti di amministrazione remota del server (RSAT). La guida all'attivazione richiede livelli di funzionalità di dominio e foresta almeno Windows Server 2008 R2. Verifichi quelli reali, senza dedurli dal sistema operativo Windows Server 2025. Le query seguenti controllano soltanto lo stato iniziale:

Get-ADForest | Select-Object RootDomain,ForestMode
Get-ADOptionalFeature -Filter "Name -eq 'Recycle Bin Feature'" | Select-Object Name,EnabledScopes
repadmin /replsummary

RootDomain deve identificare la foresta di laboratorio e ForestMode il suo livello funzionale. Controlli anche DomainMode con Get-ADDomain: non compare nella prima selezione di colonne. Può consultare DomainNamingMaster con Get-ADForest per identificare l'attuale titolare del ruolo di denominazione del dominio durante la diagnosi dell'attivazione; non dia per scontato che sia DC1. EnabledScopes vuoto non mostra un ambito attivato nella query. Se contiene già quello della foresta, non attivi di nuovo. La documentazione di Get-ADOptionalFeature descrive la selezione di un controller specifico con -Server.

Attivare la funzione nel centro di amministrazione

1. Apra dsac.exe su DC1 o sul computer di amministrazione con gli strumenti installati. Controlli l'identità amministrativa e la connessione alla foresta di laboratorio.
2. Selezioni il dominio ad.example.test corretto nella navigazione. Se manca, usi Gestisci → Aggiungi nodi di navigazione e scelga il dominio di laboratorio, non un'altra foresta.
3. Nel riquadro delle attività scelga Abilita Cestino. Legga la conferma: è una modifica irreversibile della foresta, non un'impostazione temporanea della sessione.
4. Confermi solo per il laboratorio previsto e aggiorni ADAC con F5 quando richiesto. Non ripeta l'attivazione se la funzione era già attiva.
5. Verifichi stato attivo e replica sui due controller. Non crei l'oggetto di prova finché DC1 e DC2 non hanno ricevuto la configurazione.

Se è già attivo, salti l'attivazione. La guida tecnica di ADAC distingue requisiti e stato e richiede la replica della configurazione. Per controllare i due controller, ripeta Get-ADOptionalFeature aggiungendo -Server con DC1.ad.example.test e poi DC2.ad.example.test, prima della pipeline a Select-Object. Entrambi devono mostrare l'ambito della foresta attivato. Una singola query riuscita o una finestra aggiornata non dimostrano la convergenza. Se repadmin segnala errori o i risultati differiscono, risolva la causa prima di creare ed eliminare l'oggetto. Non sposti automaticamente ruoli della directory per risolvere una voce di menu disabilitata.

Creare un oggetto dedicato al ripristino

Dopo attivazione e replica, usi l'OU LabUsers sotto Lab e il gruppo GG_LabUsers dell'esercitazione su utenti, gruppi e unità organizzative. Verifichi che recycle.lab non esista né come utente attivo né come oggetto eliminato da una prova precedente. Se il nome è occupato, non riutilizzi o elimini l'oggetto senza identificarne lo scopo. Crei solo un account nuovo disabilitato per il ripristino. Esegua le righe una alla volta in PowerShell amministrativa e si fermi se creazione o aggiunta al gruppo falliscono, senza proseguire per errore con un oggetto vecchio:

New-ADUser -Name 'Recycle Lab User' -SamAccountName 'recycle.lab' -Path 'OU=LabUsers,OU=Lab,DC=ad,DC=example,DC=test' -Description 'Recycle bin practice only' -Enabled $false
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'recycle.lab'
$recycleTest = Get-ADUser -Identity 'recycle.lab' -Properties MemberOf
$recycleTest | Select-Object Name,ObjectGUID,SID,DistinguishedName,MemberOf

Registri l'identificatore univoco globale (Globally Unique Identifier, GUID), l'identificatore di sicurezza (Security Identifier, SID), DistinguishedName come posizione nella directory e MemberOf. L'output deve corrispondere esattamente a Recycle Lab User, recycle.lab e all'OU di laboratorio, con GG_LabUsers tra le appartenenze dirette. Mantenga l'account disabilitato: non occorrono password o accesso con quell'identità. Ricreare lo stesso nome non conserverebbe GUID e SID originali. Conservi console e registrazione; se perde $recycleTest, non improvvisi una ricerca estesa per eliminare oggetti.

Eliminare e ripristinare solo l’oggetto identificato

Prima di eliminare, verifichi che $recycleTest contenga un solo oggetto appena creato e che ObjectGUID coincida con il registro. Esegua le righe seguenti una alla volta. Alla conferma di Remove-ADUser controlli l'identità Recycle Lab User e accetti solo per quell'oggetto di prova. Dopo l'eliminazione, la query deve restituire lo stesso GUID con isDeleted=True e lastKnownParent previsto. In caso di errore si fermi prima di Restore-ADObject; non invii una ricerca con caratteri jolly a un comando di eliminazione:

Remove-ADUser -Identity $recycleTest.ObjectGUID -Confirm
Get-ADObject -Identity $recycleTest.ObjectGUID -IncludeDeletedObjects -Properties isDeleted,lastKnownParent | Select-Object Name,ObjectGUID,isDeleted,lastKnownParent
Restore-ADObject -Identity $recycleTest.ObjectGUID

In alternativa al comando di ripristino, ADAC offre Oggetti eliminati: scelga soltanto l'oggetto con il GUID registrato e Ripristina. La documentazione di Restore-ADObject spiega che, senza TargetPath, viene usato lastKnownParent. Se manca il contenitore padre, lo ripristini prima oppure scelga Ripristina in per un'OU esistente appropriata. Ripristinare un'OU non recupera automaticamente tutti i discendenti. Verifichi conflitti di nome e autorizzazioni prima di cambiare posizione e non esegua entrambe le alternative senza controllare lo stato.

Confrontare l’identità ripristinata

Get-ADUser -Identity 'recycle.lab' -Properties MemberOf,Enabled | Select-Object Name,ObjectGUID,SID,Enabled,DistinguishedName,MemberOf
Get-ADGroupMember -Identity 'GG_LabUsers'

Confronti ogni valore con il registro: stesso GUID, stesso SID, posizione prevista e appartenenza a GG_LabUsers. Enabled deve rimanere False. Get-ADGroupMember mostra membri diretti; verifichi recycle.lab senza confondere l'elenco con una prova di accesso ai file. Per confrontare DC1 e DC2, usi -Server su ciascun cmdlet prima di Select-Object. Attenda una replica senza errori e confronti lo stesso oggetto sui due controller: una query sul controller predefinito non dimostra lo stato dell'altro.

La conservazione è limitata e dipende dai valori reali della foresta, tra cui msDS-deletedObjectLifetime e tombstoneLifetime. Non presuma una durata universale e non modifichi tali valori come soluzione rapida. Gli oggetti già passati allo stato recycled non si recuperano come quelli eliminati ancora disponibili nel Cestino. Esamini backup e procedure adatti prima di ricreare un account omonimo con un'identità diversa. Dopo aver registrato i risultati, può rimuovere soltanto l'account di prova identificato, senza eliminare l'OU o GG_LabUsers. Disattivare il Cestino non è un'opzione di annullamento.