Windows Server 2025 / Ativar a Lixeira do Active Directory e restaurar uma conta de teste

A Lixeira do Active Directory pode recuperar objetos excluídos depois de sua ativação, preservando atributos e associações a grupos. A ativação vale para toda a floresta e não pode ser desfeita. Ela não substitui backups em todos os cenários de recuperação.

Verifique o escopo e as condições de recuperação

Esse recurso recupera objetos do Active Directory, como usuários, grupos e unidades organizacionais (UOs). Ele não restaura arquivos de um servidor, todo o SYSVOL nem o sistema operacional. A documentação da Microsoft sobre a Lixeira do Active Directory explica a ativação e os objetos contemplados.

Confira o nível funcional da floresta, a replicação, os backups e os direitos necessários à mudança. Em produção, a ativação exige planejamento para toda a floresta; o exercício abaixo destina-se somente a um laboratório isolado.

Get-ADForest | Select-Object RootDomain,ForestMode
Get-ADOptionalFeature -Filter "Name -eq 'Recycle Bin Feature'" | Select-Object Name,EnabledScopes
repadmin /replsummary

Ative a Lixeira no Centro Administrativo

1. Abra dsac.exe no DC1 ou no computador de administração.
2. Confirme que a floresta selecionada é ad.example.test.
3. Escolha Ativar Lixeira e leia o aviso de que a alteração é irreversível.
4. Confirme somente para a floresta do laboratório e atualize o console.
5. Verifique se a mudança de configuração foi replicada para os dois controladores de domínio.

Se a Lixeira já estiver ativa, não tente habilitá-la novamente. Uma opção desabilitada também pode indicar nível funcional ou permissões insuficientes. Consulte a documentação do Centro Administrativo do Active Directory e aguarde a replicação antes de testar a restauração.

Crie um objeto de recuperação dedicado

Após ativação e replicação, crie uma conta de teste desabilitada chamada recycle.lab somente se esse nome estiver livre. A UO LabUsers e o grupo GG_LabUsers precisam existir. Não use uma conta real nem uma conta administrativa:

New-ADUser -Name 'Recycle Lab User' -SamAccountName 'recycle.lab' -Path 'OU=LabUsers,OU=Lab,DC=ad,DC=example,DC=test' -Description 'Recycle bin practice only' -Enabled $false
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'recycle.lab'
$recycleTest = Get-ADUser -Identity 'recycle.lab' -Properties MemberOf
$recycleTest | Select-Object Name,ObjectGUID,SID,DistinguishedName,MemberOf

Registre o identificador global exclusivo (GUID), o identificador de segurança (SID), a UO e as associações da conta. Ela fica desabilitada de propósito porque ninguém deve usá-la para entrar no domínio. Criar outra conta com o mesmo nome não preservaria a identidade original.

Exclua e restaure apenas o objeto identificado

Na mesma sessão, use somente o GUID registrado. No pedido de confirmação, confira que o objeto exibido é Recycle Lab User; nunca envie o resultado de uma pesquisa ampla diretamente para exclusão:

Remove-ADUser -Identity $recycleTest.ObjectGUID -Confirm
Get-ADObject -Identity $recycleTest.ObjectGUID -IncludeDeletedObjects -Properties isDeleted,lastKnownParent | Select-Object Name,ObjectGUID,isDeleted,lastKnownParent
Restore-ADObject -Identity $recycleTest.ObjectGUID

Você também pode usar Objetos Excluídos no Centro Administrativo. Se a UO original não existir mais, restaure-a primeiro ou escolha outro local adequado. Verifique conflitos de nome antes da recuperação.

Compare a identidade restaurada

Get-ADUser -Identity 'recycle.lab' -Properties MemberOf,Enabled | Select-Object Name,ObjectGUID,SID,Enabled,DistinguishedName,MemberOf
Get-ADGroupMember -Identity 'GG_LabUsers'

Compare GUID, SID, local e associações com os valores anotados antes da exclusão. A conta deve continuar desabilitada e, após a replicação, os dois controladores devem mostrar o mesmo objeto.

O período de retenção dos objetos excluídos é limitado. Se a restauração não estiver mais disponível, examine os backups adequados antes de criar uma conta com o mesmo nome e identidade diferente. Depois do teste, você pode excluir somente o objeto criado para ele; a Lixeira em si não pode ser desabilitada.