La corbeille Active Directory : activation, durée de vie des objets et limites face à une vraie sauvegarde
La corbeille Active Directory transforme une suppression accidentelle, autrefois source de stress et de restauration lourde, en une opération de quelques minutes. Beaucoup d'organisations l'ont activée sans vraiment comprendre ce qu'elle restaure, ni surtout ce qu'elle ne remplace pas. Elle est précieuse, mais elle n'est pas une sauvegarde.
Ce qui se passe sans la corbeille
Lorsqu'un objet est supprimé dans un domaine sans corbeille, Active Directory ne l'efface pas immédiatement : il le transforme en « pierre tombale » (tombstone). La plupart de ses attributs sont retirés, dont les appartenances de groupe. L'objet subsiste ainsi, dépouillé, pendant une durée appelée durée de vie des pierres tombales. Restaurer un objet dans cet état est possible mais pénible : il faut ensuite reconstruire manuellement les attributs perdus et réintégrer l'objet dans ses groupes.
Ce que la corbeille change
Une fois la corbeille activée, un objet supprimé n'est plus immédiatement dépouillé. Il passe dans un état « supprimé logiquement » (logically deleted) où il conserve l'ensemble de ses attributs, y compris les liens comme les appartenances de groupe. Pendant toute cette période, il peut être restauré tel quel, avec ses attributs et ses relations, en une seule opération. Ce n'est qu'à l'expiration de ce délai qu'il devient une pierre tombale, puis qu'il est définitivement supprimé.
Deux paramètres gouvernent ces durées : msDS-deletedObjectLifetime, qui fixe la durée de l'état supprimé logiquement, et la durée de vie des pierres tombales. Par défaut, la première reprend la valeur de la seconde, soit 180 jours dans les forêts créées récemment. Vous disposez donc, concrètement, de six mois pour restaurer un objet dans son intégralité, à condition que la corbeille ait été activée avant la suppression.
Activation irréversible. L'activation de la corbeille Active Directory ne peut pas être annulée. Elle requiert le niveau fonctionnel de forêt Windows Server 2008 R2 au minimum et une forêt en bonne santé de réplication. Elle n'agit pas rétroactivement : les objets déjà supprimés avant l'activation ne bénéficient pas de la protection.
Activer et restaurer
L'activation se fait une seule fois, au niveau de la forêt, et se réplique vers tous les contrôleurs de domaine. Elle augmente légèrement la taille de la base, puisque les objets supprimés conservent tous leurs attributs plus longtemps : c'est à prévoir, sans que cela pose de difficulté dans la plupart des environnements.
La restauration s'effectue depuis le Centre d'administration Active Directory, qui présente un conteneur des objets supprimés, ou en ligne de commande. L'opération rétablit l'objet à son emplacement d'origine, ou à un emplacement choisi si l'unité d'organisation d'origine n'existe plus. Lorsqu'on restaure un ensemble d'objets liés, par exemple une unité d'organisation et son contenu, l'ordre compte : il faut rétablir le conteneur avant les objets qu'il abritait, faute de quoi la restauration de ces derniers échoue.
Les limites qu'il faut avoir en tête
La corbeille répond à un besoin précis : la suppression d'objets. Elle ne couvre pas d'autres situations :
- Une modification sans suppression : si un attribut est écrasé, un groupe vidé de ses membres sans que les objets eux-mêmes soient supprimés, ou une GPO altérée, la corbeille n'y peut rien. Ces cas relèvent d'une restauration autoritaire depuis une sauvegarde.
- Une corruption ou un sinistre de la forêt : la corbeille vit dans l'annuaire ; si l'annuaire est détruit ou corrompu, elle disparaît avec lui. Seule une sauvegarde de l'état du système, conservée hors ligne, permet une récupération de forêt.
- Un objet supprimé il y a plus longtemps que la durée configurée : passé ce délai, l'objet n'est plus restaurable.
- Le mot de passe du compte : un objet utilisateur restauré retrouve ses attributs, mais selon les cas, son secret peut devoir être redéfini avant qu'il ne se reconnecte.
La corbeille et la sauvegarde ne s'opposent pas : elles couvrent des risques différents. La première traite l'erreur quotidienne de suppression, la seconde la restauration de modifications et la reconstruction de la forêt. Les deux doivent coexister, et la capacité à reconstruire la forêt doit être testée, pas seulement supposée.
Ce qu'un audit vérifie
- L'activation de la corbeille Active Directory et la date à laquelle elle a été activée.
- La valeur de
msDS-deletedObjectLifetimeet de la durée de vie des pierres tombales. - La connaissance, par les équipes, de la procédure de restauration et de l'ordre de restauration des objets liés.
- L'existence de sauvegardes de l'état du système des contrôleurs, conservées hors ligne.
- La distinction claire, dans les procédures, entre restauration par la corbeille, restauration autoritaire et récupération de forêt.