Recuperación de objetos de Active Directory utilizando la Papelera de reciclaje

La Papelera de reciclaje de Active Directory permite a los usuarios recuperar objetos eliminados de Active Directory sin tener que restaurarlos desde una copia de seguridad, reiniciar los Servicios de Dominio de Active Directory o reiniciar los controladores de dominio (DCs).

Exploremos exactamente cómo funciona la recuperación de objetos con la Papelera de reciclaje y luego discutamos sus limitaciones.

Recuperación de objetos de Active Directory con la Papelera de reciclaje de AD

Si la Papelera de reciclaje de AD está habilitada, cuando se elimina un objeto, la mayoría de sus atributos se conservan durante un período de tiempo para facilitar la restauración del objeto si es necesario. Durante este período, el objeto se encuentra en el estado de deleted object. (Este período de tiempo está definido en el atributo msDS-DeletedObjectLifetime. Por defecto, su valor es el valor del atributo tombstoneLifetime. Si el valor del atributo msDS-deletedObjectLifetime es nulo o el atributo simplemente no existe, su valor se interpreta como el valor del atributo tombstoneLifetime. Si tampoco hay un valor de tombstoneLifetime, ambos valores se establecen por defecto en 60 días.)

Una vez que el tiempo del objeto en estado de objeto eliminado se agota, el objeto se convierte en un recycled object. Un recycled object parece sospechosamente como una tumba con un atributo isRecycled añadido y establecido en TRUE. Al igual que una tumba, la mayoría de sus atributos se eliminan y persiste en Active Directory por el período de tiempo especificado por el atributo tombstoneLifetime. Luego, es limpiado por la recolección de basura de Active Directory.

El ciclo de vida de un objeto eliminado con la Papelera de reciclaje activada se ve así:

Cómo cambia un objeto cuando entra en la Papelera de reciclaje

Aunque la Papelera de reciclaje conserva más atributos del objeto que una tumba, un objeto restaurado no es idéntico al objeto original. Veamos cómo.Aquí hay una cuenta de usuario que estoy planeando eliminar:

Aquí está el objeto en el estado de objeto eliminado en la Papelera de reciclaje:

Aunque se retienen la mayoría de los atributos del objeto, hay algunas diferencias importantes:

• El objeto ha sido trasladado.El objeto ha sido trasladado al contenedor de Objetos Eliminados de la partición.
• El objeto ha sido renombrado.El nombre del objeto ha sido actualizado usando el Common-Name DEL:Object-Guid.
• El objeto posee algunos atributos nuevos. El atributo isDeleted tiene un valor de VERDADERO y el atributo lastKnownParent está poblado. Un nuevo atributo, msDS-LastKnownRDN, está poblado con el nombre distinguido relativo conocido más reciente del objeto (este atributo permite que la Papelera de reciclaje restablezca correctamente el RDN de un objeto durante su restauración, incluso si el cambio de nombre del objeto resultó en la truncación del RDN original).
• Se han eliminado dos atributos. Los atributos objectCategory y sAMAccountType siempre se eliminan de un objeto cuando este se borra. Si el objeto se recupera, el valor de objectCategory se restablece automáticamente al valor más específico dentro del atributo objectClass, y el valor de sAMAccountType se calcula a partir del valor del atributo userAccountControl (para objetos de usuario) o del atributo groupType (para objetos de grupo)..

Los lectores atentos también podrían notar que los atributos manager y memberOf también faltan en mi captura de pantalla. En realidad, solo están ocultos. Ambos atributos son link-valued (es decir, contienen referencias a otros objetos) y la herramienta que utilicé (LDP) no devuelve enlaces desactivados a menos que se haya establecido el control ingeniosamente nombrado Return Deactivated Links. Si hubiera activado ese control, entonces los atributos y sus valores habrían sido visibles en mi captura de pantalla, pero me habría perdido este momento de enseñanza.

Cómo recuperar un objeto de la Papelera de reciclaje de AD

Antes de Windows Server 2012, restaurar un objeto de la AD Recycle Bin requería usar una herramienta LDAP o PowerShell para listar todos los objetos eliminados, buscar en una larga lista para encontrar el objeto deseado y utilizar otro comando de PowerShell para restaurarlo. ¡Era bueno que la AD Recycle Bin fuera tan útil porque no era precisamente divertido de usar!

Ahora, la funcionalidad de la Papelera de reciclaje está disponible en el Active Directory Administrative Center:

Como puede ver, puede encontrar rápidamente el objeto eliminado que le interesa utilizando los filtros de búsqueda.

Para restaurar un objeto, simplemente haga clic en Restore en la lista de Tareas en el lado derecho de la ventana. Así es como se ve el objeto restaurado:

Desventajas del Recycle Bin de Active Directory

Aunque la Papelera de reciclaje simplifica enormemente la recuperación de objetos, hemos observado un par de limitaciones: Los objetos se mantienen solo por un período de tiempo relativamente corto y algunos de sus atributos se pierden. Hay un par de inconvenientes adicionales con la Papelera de reciclaje:

• Habilitar la Papelera de reciclaje de Active Directory implica un cambio de esquema. Por lo tanto, una vez que activas la Papelera de reciclaje, no puedes desactivarla sin una recuperación completa del bosque.
• Active Directory va a ser un poco más grande. Después de habilitar la Papelera de reciclaje de AD, los objetos eliminados conservarán muchos más de sus atributos y persistirán más tiempo que los tombstones. Como resultado, Active Directory probablemente utilizará un poco más de espacio que antes.
• Habilitar la Papelera de reciclaje elimina todos los marcadores de posición de eliminación. La consecuencia más impactante de habilitar la Papelera de reciclaje es que todos los objetos marcadores de posición de eliminación en el bosque dejarán de existir inmediatamente. Muchos administradores han aprendido sobre esta consecuencia de la manera difícil.

Sin embargo, estos problemas no superan los beneficios de habilitar la Papelera de reciclaje de AD.

Recuperación de objetos de Active Directory sin la Papelera de reciclaje de AD

Para ilustrar el valor de habilitar la Papelera de reciclaje de AD, revisemos lo que implica recuperar un objeto de AD cuando la Papelera de reciclaje de AD no está habilitada.

En un dominio sin la Papelera de reciclaje de AD habilitada, cuando se elimina un objeto de Active Directory, se convierte en un tombstone. Este objeto, despojado de la mayoría de sus atributos, se mantiene en el contenedor de Objetos eliminados de la partición por el período de tiempo especificado en la tombstoneLifetime del dominio. Durante este período, el objeto es técnicamente recuperable, pero sus atributos perdidos generalmente se consideran irrecuperables. Una vez que se alcanza el valor de tombstoneLifetime, el objeto es recogido por el recolector de basura hasta su inexistencia. Este ciclo de vida se ilustra a continuación:

Veamos cómo podemos reanimar esta lápida utilizando la función Modify de la utilidad LDP:

1. Haga clic derecho en la tumba y seleccione la opción de Modify.
2. En la sección Edit Entry, ingrese el valor “isDeleted” en el campo Attribute, seleccione el botón de opción Delete bajo Operation, y haga clic en el botón Enter para añadir la entrada a la Lista de Entradas.
3. En la sección Edit Entry, ingrese el valor “distinguishedName” en el campo Attribute, ingrese el nombre distinguido del objeto antes de su eliminación en el campo Values, seleccione el botón de opción Replace bajo Operation, y haga clic en el botón Enter para añadir la entrada a la lista de entradas.
   ¿Recuerdas cuando mencioné que el atributo lastKnownParent podría resultar útil? Bueno, si no sabes cuál era el dn del objeto antes de su eliminación, puedes probar este truco: Toma el dn actual y reemplaza el carácter terminado en NULL (“A”) y todo lo que esté a su derecha con el valor actual del atributo lastKnownParent.
4. Seleccione la opción Extended en la parte inferior izquierda del panel.
5. Haga clic en el botón de Run.

Entonces podemos encontrar el objeto reanimado de nuevo y ver cómo luce:

Como puede ver, técnicamente recuperamos el objeto de usuario eliminado. Sin embargo, le falta la mayoría de la información que poseía antes de su eliminación.

Puedes (en teoría) evitar este problema tomando instantáneas VSS regulares de Active Directory. Entonces, si necesitas recuperar un objeto eliminado, puedes “simplemente” encontrar una copia de seguridad que se realizó antes de la eliminación del objeto, montar la instantánea usando NTDSUTIL, conectarte a la instantánea montada usando una utilidad LDAP, localizar el objeto, exportarlo a… olvídalo.

Pero espera, se pone peor.

El contenedor de Objetos Eliminados no es algo permanente. La propiedad apropiadamente llamada tombstoneLifetime en el CN=Directory Service,CN=Windows NT,CN-Services,CN=Configuration,ForestDistinguishedName define el número de días antes de que un objeto eliminado sea removido permanentemente de Active Directory.

El valor de tombstoneLifetime se basa en la versión de Windows Server que intervino en la creación del bosque del dominio. Se establece por defecto en 180 días (la configuración recomendada actual de Microsoft) en bosques creados con una versión de Windows Server más reciente que 2003. Las implementaciones más antiguas se establecen por defecto en 60 días. El comportamiento de la propiedad tombstoneLifetime realmente merece atención y es bastante interesante. Si el valor existe, la duración del tombstone es el valor especificado. A menos que el valor sea menor de 2; entonces la duración del tombstone se establece por defecto en 60 días (Windows 2000 Server hasta Windows Server 2008) o 2 días (Windows Server 2008 R2 o posterior). Si no se especifica ningún valor, el valor es de 60 días.

Si tienes curiosidad sobre el valor de tombstoneLifetime en tu entorno, este script de PowerShell te lo devolverá (requiere herramientas de AD DS y AD LDS):

      (Get-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,$((Get-ADRootDSE).configurationNamingContext)" -Properties *).tombstoneLifetime
      

Una vez que un objeto ha pasado un tombstoneLifetime en el contenedor de Objetos Eliminados, es eliminado lógicamente por la recolección de basura de Active Directory. En ese momento, se ha ido y nunca volverá.

Cómo puede ayudar Netwrix

La Papelera de reciclaje de AD es una herramienta útil para recuperar objetos eliminados recientemente. Para una solución más completa, considere Netwrix Recovery for Active Directory. Le permite restaurar objetos respaldados que han excedido el tiempo de vida de objeto eliminado de su bosque mdDS-DeletedObjectLifetime y por lo tanto ya no son recuperables usando la Papelera de reciclaje de AD