DEV Community

Eduardo Silva
Eduardo Silva

Posted on

Active Directory Recycle Bin: como habilitar e recuperar objetos excluídos sem backup

#powershell #activedirectory #sysadmin #windows

Active Directory Recycle Bin: como habilitar e recuperar objetos excluídos sem precisar de backup

Quem administra Active Directory on-premises já viveu esse susto: alguém exclui uma OU inteira, um grupo de distribuição crítico ou a conta de um usuário importante, e a primeira pergunta é "temos backup de ontem?". Com o Active Directory Recycle Bin habilitado, boa parte desses incidentes se resolve em segundos, sem precisar restaurar um System State inteiro.

Neste artigo, mostro o que é esse recurso, como habilitá-lo corretamente e como recuperar objetos excluídos via PowerShell — o fluxo que uso no dia a dia em ambientes Windows Server.

O que é o AD Recycle Bin

O Recycle Bin do Active Directory é um optional feature do AD DS que, uma vez ativado, faz com que objetos excluídos preservem praticamente todos os seus atributos (incluindo membros de grupo, por exemplo) durante o período de retenção de tombstone, em vez de serem apenas marcados como "tombstone" com a maioria dos atributos removidos.[1] Isso significa que restaurar um usuário excluído também restaura seus grupos, sem trabalho manual de recadastro.

Pontos importantes antes de habilitar:

  • É necessário que o forest functional level esteja em Windows Server 2008 R2 ou superior — o recurso não existe como optional feature em florestas abaixo disso.[2]
  • A operação deve ser executada no controlador de domínio que detém a função FSMO de Domain Naming Master.[2]
  • Atenção: uma vez habilitado, o Recycle Bin não pode ser desabilitado. Além disso, objetos que já estavam excluídos (tombstoned) antes da ativação não se tornam recuperáveis — eles seguem o ciclo antigo e só poderiam ser restaurados via backup autoritativo do AD DS.[2]

Passo 1 — Verificar o nível funcional da floresta

Antes de tentar habilitar, confirme o functional level:

Get-ADForest | Select-Object Name, ForestMode
Enter fullscreen mode Exit fullscreen mode

Se o ForestMode já estiver em Windows2008R2Forest ou mais recente, pode seguir para o próximo passo.

Passo 2 — Habilitar o Recycle Bin Feature

O cmdlet usado é o Enable-ADOptionalFeature, da módulo ActiveDirectory. O exemplo abaixo, baseado na documentação oficial, habilita o recurso para toda a floresta:[2]

$params = @{
    Identity = 'Recycle Bin Feature'
    Scope    = 'ForestOrConfigurationSet'
    Target   = 'fabrikam.com'
    Server   = 'dc1'
}
Enable-ADOptionalFeature @params
Enter fullscreen mode Exit fullscreen mode

Troque fabrikam.com pelo FQDN da sua floresta e dc1 pelo DC que detém a role de Domain Naming Master (confira com netdom query fsmo caso não tenha certeza). O comando pede confirmação — responda Y para seguir.

Depois de habilitado, dê um tempo para a replicação se propagar por todos os controladores de domínio antes de testar a recuperação em produção. Em ambientes com múltiplos sites, isso pode levar alguns minutos a algumas horas, dependendo do intervalo de replicação configurado.

Passo 3 — Testar a exclusão e localizar o objeto no "lixo"

Com o recurso ativo, delete um objeto de teste (por exemplo, um usuário de laboratório) e depois procure-o no container de objetos excluídos:

Get-ADObject -Filter "samAccountName -eq 'usuario.teste'" -IncludeDeletedObjects -Properties *
Enter fullscreen mode Exit fullscreen mode

Também é possível listar todo o conteúdo do container de Deleted Objects:

Get-ADObject -SearchBase (Get-ADRootDSE).deletedObjectsContainer `
    -Filter "isDeleted -eq 'TRUE' -and name -ne 'Deleted Objects'" `
    -IncludeDeletedObjects -Properties lastKnownParent
Enter fullscreen mode Exit fullscreen mode

A propriedade lastKnownParent é útil para saber de qual OU o objeto veio — relevante quando você quer restaurá-lo no local original.

Passo 4 — Restaurar o objeto com Restore-ADObject

A restauração em si é feita com o cmdlet Restore-ADObject, que aceita o objeto via pipeline a partir do Get-ADObject:[3]

Get-ADObject -Filter "samAccountName -eq 'usuario.teste'" -IncludeDeletedObjects |
    Restore-ADObject
Enter fullscreen mode Exit fullscreen mode

Por padrão, o objeto volta para o último container (OU) conhecido antes da exclusão. Se quiser restaurá-lo em outro local, use o parâmetro -TargetPath:

Get-ADObject -Filter "samAccountName -eq 'usuario.teste'" -IncludeDeletedObjects |
    Restore-ADObject -TargetPath "OU=Usuarios,DC=fabrikam,DC=com"
Enter fullscreen mode Exit fullscreen mode

Depois de restaurado, confirme que os atributos voltaram (incluindo pertencimento a grupos, no caso de usuários) com um simples Get-ADUser usuario.teste -Properties MemberOf.

Restaurando pela interface gráfica (ADAC)

Se preferir não usar PowerShell no dia a dia, o Active Directory Administrative Center (ADAC) também tem suporte nativo: basta clicar com o botão direito no domínio raiz, escolher a opção para habilitar o Recycle Bin e, depois, navegar até o container "Deleted Objects" (que só aparece com a feature ativa) para clicar em "Restore" ou "Restore To..." em um objeto específico.[1]

Limitações que vale lembrar

  • O Recycle Bin não substitui backup: ele protege contra exclusões acidentais dentro da janela de retenção configurada (o padrão herda do tombstone lifetime, normalmente 180 dias em florestas mais recentes), mas não contra corrupção de banco de dados do AD, falha de hardware ou ransomware que afete todos os DCs.
  • Objetos excluídos antes de habilitar o recurso continuam fora do alcance do Recycle Bin.[2]
  • A ativação é irreversível — planeje isso como parte da linha de base de qualquer novo domínio, não como algo que você vai "configurar depois".

Conclusão

Habilitar o AD Recycle Bin é uma das mudanças de maior custo-benefício que existem em um ambiente Active Directory: é uma única execução de Enable-ADOptionalFeature, não exige licença adicional, e transforma incidentes de "exclusão acidental" de uma restauração de backup de horas em uma recuperação de segundos com Restore-ADObject. Se o seu domínio ainda não tem esse recurso ativo, esse é um bom item para colocar na lista de tarefas desta semana — antes que a próxima exclusão acidental aconteça.

Sources

[1] https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/adac/active-directory-recycle-bin — Enable Active Directory Recycle Bin - Microsoft Learn
[2] https://learn.microsoft.com/en-us/powershell/module/activedirectory/enable-adoptionalfeature?view=windowsserver2025-ps — Enable-ADOptionalFeature (ActiveDirectory) - Microsoft Learn
[3] https://learn.microsoft.com/en-us/powershell/module/activedirectory/restore-adobject — Restore-ADObject (ActiveDirectory) - Microsoft Learn

Top comments (0)