Wie stellt man einen gelöschten Benutzer oder eine gelöschte Gruppe in Active Directory wieder her?

[Markus]

Man weiß, wie es manchmal läuft, oder? Man ist mitten im Geschehen, versucht sein Active Directory zu verwalten, und dann plötzlich, ups! Man löscht versehentlich einen Benutzer oder sogar eine Gruppe. Das habe ich auch schon erlebt, und es kann sich in dem Moment wie ein Mini-Herzinfarkt anfühlen. Aber keine Sorge, ich bin hier, um man durch den Prozess der Wiederherstellung des gelöschten Benutzers oder der Gruppe zu begleiten. Es ist nicht so kompliziert, wie es klingt, und sobald man den Dreh raus hat, wird es einfach eine weitere Sache, die man mit Leichtigkeit bewältigen kann.

Zuerst muss man sicherstellen, dass die richtige Version von Active Directory vorhanden ist. Wenn man Active Directory Domain Services auf einer Windows Server-Version hat, die die Funktion „Active Directory Wiederherstellung“ unterstützt, hat man Glück! Die Wiederherstellungsfunktion ist wie ein Sicherheitsnetz, das es einem ermöglicht, gelöschte Objekte ohne viel Aufhebens wiederherzustellen. Wenn man es noch nicht aktiviert hat, ist es fürs Erste sinnvoll, dies für die Zukunft zu tun, denn sobald es aktiviert ist, kann man gelöschte Objekte ganz einfach wiederherstellen.

Wenn man bestätigt hat, dass alles bereit ist für die Wiederherstellungsfunktion, sprechen wir darüber, wie man überprüfen kann, ob der gelöschte Benutzer oder die Gruppe noch dort vorhanden ist. Man muss das Active Directory Verwaltungscenter öffnen. Man findet es normalerweise im Menü „Tools“ des Servermanagers, wenn man direkt am Server arbeitet. Es wird ein vertrauter Raum für einen sein, da man dort viel Zeit mit der Verwaltung von Benutzern und Gruppen verbringen wird.

Sobald man im Active Directory Verwaltungscenter ist, sucht man in der linken Seitenleiste nach der Domäne. Man klickt mit der rechten Maustaste darauf, und man sollte die Option „Gelöschte Objekte“ sehen. Wenn man darauf klickt, zeigt es einem alles an, was gelöscht wurde, aber immer noch im Papierkorb festhängt. Man kann den Benutzer oder die Gruppe, die man wiederherstellen möchte, ziemlich einfach identifizieren, entweder indem man durch die Liste scrollt oder die Suchfunktion nutzt. Es ist ziemlich schick!

Angenommen, man hat den Benutzer oder die Gruppe gefunden, die man zurückbringen möchte. Hier passiert die eigentliche Wiederherstellung. Man klickt mit der rechten Maustaste auf diesen Benutzer oder diese Gruppe und man sollte die Option „Wiederherstellen“ sehen. Man klickt darauf, und voilà! Wie durch Zauberei wird das gelöschte Objekt an seinen Platz im Active Directory zurückkehren. Ist es nicht beruhigend, dass es so einfach sein kann?

Es gibt jedoch einen Haken. Nicht alles ist immer rosig. Es kann Szenarien geben, in denen die Dinge etwas komplizierter werden. Wenn man sein Active Directory eine Weile verwaltet hat und bestimmte Objekte schon vor langer Zeit gelöscht wurden, könnten sie die Lebensdauer des Tombstones überschritten haben. In diesem Fall ist das Objekt nicht mehr über den Papierkorb wiederherstellbar. Aber man sollte noch nicht ganz in Panik geraten. Es gibt möglicherweise andere Optionen.

Wenn der Container „Gelöschte Objekte“ nicht hat, was man sucht, und die Lebensdauer des Tombstones schon überschritten ist, muss man eventuell ein wenig mit PowerShell herumspielen. Wenn man sich mit PowerShell auskennt, kann man das Active Directory-Modul verwenden, um ein paar Tricks auszuführen. Aber das erfordert ein wenig Einrichtung.

Angenommen, man hat das eingerichtet. Man würde das Cmdlet "Get-ADObject -Filter {deleted -eq $true}" verwenden, um nach gelöschten Objekten zu suchen. Dieser Befehl ermöglicht es einem, durch die gelöschten Elemente zu filtern. Je nachdem, wie der Filter eingerichtet ist, muss man ihn möglicherweise ein wenig anpassen, um ihn auf den spezifischen Benutzer oder die Gruppe einzugrenzen, die man wiederherstellen möchte.

Nachdem man das Objekt gefunden hat, das man wiederherstellen möchte, kann man das Cmdlet "Restore-ADObject" verwenden. Man sollte nur sicherstellen, dass man den distinguierten Namen (DN) des Objekts korrekt identifiziert hat, bevor man den Wiederherstellungsbefehl ausführt. Es ist so, als würde man sicherstellen, dass man die richtige Adresse hat, bevor man ein Paket versendet. Wenn alles in Ordnung ist, wird das Ausführen dieses Befehls das Objekt genau dorthin zurückbringen, wo es hingehört.

Ein wichtiger Aspekt, auf den man achten sollte, ist, dass, wenn während der Zeit, in der das Objekt weg war, Änderungen an den Attributen des gelöschten Objekts vorgenommen wurden, diese Änderungen bei der Wiederherstellung nicht reflektiert werden. Wenn man also Anpassungen an anderen Benutzerkonten oder Gruppenmitgliedschaften vorgenommen hat, muss man möglicherweise zurückgehen und diese Änderungen manuell wieder anwenden. Es lohnt sich, sich zu notieren, was man nach der Wiederherstellung anpassen muss, um sicherzustellen, dass alles wieder in Ordnung ist.

Wenn die Situation noch komplizierter wird und man ein ganzes Gruppe wiederherstellen muss, kann man immer noch den Papierkorb verwenden, wenn er aktiviert ist. Das spart enorm Zeit, da man die Gruppe nicht neu erstellen oder den Prozess des manuellen Hinzufügens von Mitgliedern durchlaufen muss. Man stellt die Gruppe einfach direkt aus dem Container „Gelöschte Objekte“ wieder her, ähnlich wie bei einem Benutzer, und alles sollte zurückkommen – Gruppenmitglieder und Berechtigungen intakt.

Natürlich laufen die Dinge in der IT nicht immer reibungslos. Manchmal könnte der Benutzer oder die Gruppe mit zusätzlichen Ressourcen verbunden sein, oder es könnten Sicherheitsberechtigungen, die vor der Löschung angepasst wurden, vorhanden sein. Nach der Wiederherstellung könnte es hilfreich sein, verlinkte Eigenschaften oder delegierte Rechte zu überprüfen, um sicherzustellen, dass der Benutzer oder die Gruppe den richtigen Zugang benötigen.

Und hey, wenn sich herausstellt, dass man in einem schwierigen Spot steckt und nichts im Papierkorb funktioniert, könnte es an der Zeit sein, Backups in Betracht zu ziehen. Deshalb neige ich immer dazu, eine solide Backup-Strategie zu verfolgen. Richtig durchgeführte Backups können Lebensretter sein, also wenn man die besten Praktiken befolgt hat, indem man häufige Schnappschüsse seines Active Directory gemacht hat, kann man aus diesen Backups wiederherstellen, wenn es unbedingt erforderlich ist. Es ist etwas aufwendiger als nur den Papierkorb zu verwenden, aber es ist ein weiterer gangbarer Weg.

Zum Abschluss sollte man daran denken, dass die Verwaltung von Active Directory manchmal überwältigend erscheinen kann, aber proaktive Maßnahmen mit Funktionen wie dem Papierkorb und ein Verständnis des Wiederherstellungsprozesses können einem eine Menge Kopfschmerzen in der Zukunft ersparen. Und wenn man jemals in eine Situation gerät, in der man sich festgefahren oder unsicher fühlt, ist die IT-Community in der Regel unterstützend. Zögere nicht, nachzufragen, ob bei der Arbeit oder in Online-Foren. Jeder hat irgendwo angefangen, und wahrscheinlich hat jemand anderes die gleichen Probleme erlebt, mit denen man konfrontiert ist.

Egal, ob man ein Veteran in der Branche ist oder gerade erst anfängt, sollte man ruhig bleiben und logisch denken. Das Wiederherstellen gelöschter Benutzer oder Gruppen im Active Directory ist nur eine weitere Aufgabe, die man mit ein wenig Übung meistern kann. Man schafft das!

Ich hoffe, man fand diesen Beitrag nützlich. Hast Du eine sichere Backup-Lösung für Windows-Server? Sieh dir meinen anderen Beitrag an.