Windows Server 2025: Kôš Active Directory a bezpečná obnova objektov
Náhodne odstránený používateľ alebo organizačná jednotka môže prerušiť prístup k službám a skupinám. Kôš Active Directory zachováva odstránené objekty s ich atribútmi, aby ich správca mohol vrátiť do konzistentného stavu bez zdĺhavej autoritatívnej obnovy.
Čo kôš chráni
Pri zapnutej funkcii sa uchovávajú prepojené aj neprepojené atribúty odstráneného objektu. Obnovený používateľ sa tak môže vrátiť s dôležitými vlastnosťami a členstvami v skupinách. To je zásadný rozdiel oproti ručnému vytvoreniu nového účtu s rovnakým menom.
Pomáha pri chybe správcu
Umožní obnoviť používateľa, skupinu, počítač alebo organizačnú jednotku z kontajnera odstránených objektov.
Nenahrádza zálohu
Nechráni pred všetkými typmi poškodenia adresára, útokom ani stratou doménových radičov. Záloha systémového stavu zostáva potrebná.
Predpoklady pred aktiváciou
Microsoft vyžaduje funkčnú úroveň lesa a domény najmenej Windows Server 2008 R2. Správca potrebuje zodpovedajúce oprávnenia a nástroje na vzdialenú správu, najmä Centrum správy služby Active Directory alebo modul Active Directory pre PowerShell. Pred zásahom overte aj zdravie replikácie medzi radičmi.
- Zdokumentujte les. Zapíšte funkčné úrovne, radiče domény, držiteľov rolí a stav replikácie.
- Overte zálohu. Posledná záloha systémového stavu musí mať úspešný výsledok a známy postup obnovy.
- Schváľte nezvratnú zmenu. Zapnutie koša je operácia pre celý les a nedá sa neskôr vypnúť.
- Nechajte zmenu zreplikovať. Funkciu netestujte skôr, než sa konfigurácia dostane na všetky relevantné radiče.
Obmedzenie: Objekt odstránený pred aktiváciou koša nemožno týmto mechanizmom jednoducho vrátiť. Pre starší incident môže byť potrebná autoritatívna obnova z vhodnej zálohy, ktorú má vykonať skúsený správca v kontrolovanom postupe.
Otestujte obnovu na bezpečnom objekte
Vytvorte skúšobnú organizačnú jednotku, používateľa a testovaciu skupinu bez produkčných oprávnení. Zapíšte atribúty a členstvo, objekt odstráňte a v Centre správy služby Active Directory otvorte kontajner Odstránené objekty. Použite obnovenie na pôvodné miesto a skontrolujte výsledok.
Test musí overiť viac než samotnú prítomnosť účtu. Skontrolujte identifikátor objektu, skupinové členstvá, umiestnenie v organizačnej jednotke, atribúty používané aplikáciami a následnú replikáciu. Až tak získate dôkaz, že postup funguje vo vašom prostredí.
Prevádzkový postup pri incidente
Keď používateľ nahlási problém, najprv zastavte ďalšie hromadné zmeny a zistite čas odstránenia. Obnovte nadradené objekty pred podriadenými, ak bola zmazaná celá štruktúra. Po obnove skontrolujte prihlásenie, prístup k zdrojom a kritické aplikácie. Každý krok zaznamenajte do incidentu.
Obmedzte oprávnenia na mazanie organizačných jednotiek, používajte ochranu pred náhodným odstránením a pravidelne kontrolujte delegované práva. Kôš skracuje obnovu, no najlacnejším incidentom zostáva ten, ktorému zabránite dobrým riadením zmien.
Do prevádzkového plánu zahrňte aj dobu uchovávania odstránených objektov. Nejde o neobmedzený archív: dostupnosť obnovy závisí od nastavení lesa a času, ktorý od odstránenia uplynul. Kritický omyl preto riešte okamžite a nespoliehajte sa, že objekt zostane v kontajneri navždy.
Po úspešnej obnove sledujte následky v nadväzujúcich službách. Synchronizácia identít, poštový systém alebo podniková aplikácia mohli medzičasom spracovať odstránenie. Návrat objektu v adresári preto ešte nemusí automaticky obnoviť všetky externé väzby a prístupy.
- Funkčné úrovne spĺňajú požiadavky a replikácia je zdravá.
- Existuje overená záloha systémového stavu.
- Aktiváciu schválil vlastník adresárovej služby.
- Testovací objekt sa vrátil s atribútmi a členstvami.
- Postup obnovy je uložený a dostupný službukonajúcemu správcovi.
Pripravená obnova skracuje výpadok
Kôš Active Directory je účinná ochrana pred bežným omylom správcu. Najväčšiu hodnotu má vtedy, keď je zapnutý vopred, replikácia je zdravá a tím pravidelne skúša celý postup obnovy.