Corbeille Active Directory : l'activer, restaurer des objets et connaître ses limites
Un clic de trop dans la console et une unité d'organisation entière disparaît, avec ses utilisateurs, ses groupes et leurs appartenances. Sans corbeille, la seule solution est une restauration faisant autorité à partir d'une sauvegarde. Avec elle, l'opération prend quelques minutes. Elle reste pourtant désactivée dans une partie des forêts que nous auditons.
Ce que change la corbeille
Sans corbeille, un objet supprimé devient une pierre tombale (tombstone) : Active Directory lui retire la plupart de ses attributs, dont les appartenances aux groupes, et ne conserve qu'un squelette. Le réanimer produit un objet incomplet qu'il faut reconstruire. Avec la corbeille, un objet supprimé passe d'abord à l'état d'objet supprimé en conservant tous ses attributs, y compris les attributs liés comme les appartenances aux groupes. Il peut alors être restauré à l'identique, avec le même SID et le même GUID.
L'activer
La corbeille exige un niveau fonctionnel de forêt Windows Server 2008 R2 au minimum, ce que toute forêt maintenue dépasse aujourd'hui. Elle s'active pour toute la forêt, depuis le Centre d'administration Active Directory ou avec la commande Enable-ADOptionalFeature et la fonctionnalité « Recycle Bin Feature ». Deux points à connaître :
- l'activation est irréversible, ce qui ne pose en pratique aucun problème ;
- elle n'est pas rétroactive : les objets déjà supprimés avant l'activation restent des pierres tombales et ne peuvent pas être restaurés complètement.
La base de l'annuaire grossit légèrement, puisque les objets supprimés conservent leurs attributs pendant leur durée de vie. Dans la très grande majorité des environnements, l'impact est négligeable.
Les durées de vie à connaître
| Attribut | Rôle |
|---|---|
msDS-deletedObjectLifetime | Durée pendant laquelle un objet supprimé reste restaurable avec tous ses attributs. S'il n'est pas défini, la valeur de tombstoneLifetime s'applique. |
tombstoneLifetime | Durée de vie de l'objet recyclé avant sa suppression définitive. Elle est de 180 jours pour les forêts créées avec les versions modernes, mais peut valoir 60 jours dans des forêts très anciennes. |
Ces deux attributs se trouvent sur l'objet Directory Service de la partition de configuration. Vérifiez leur valeur : une forêt historique peut conserver une durée de 60 jours, qui conditionne aussi l'âge maximal d'une sauvegarde restaurable.
Restaurer des objets et des appartenances
La restauration se fait depuis le conteneur Deleted Objects, dans le Centre d'administration ou avec Restore-ADObject. L'ordre compte : un objet ne peut être restauré que si son conteneur parent existe. Après la suppression d'une OU complète, restaurez d'abord l'OU, puis ses sous-OU, puis les objets qu'elles contenaient. Les appartenances aux groupes sont restaurées avec l'objet, à condition que les groupes concernés existent eux aussi ; restaurez donc les groupes et les utilisateurs supprimés ensemble. Les mots de passe sont conservés : l'utilisateur retrouve son compte tel qu'il était.
Prévenir plutôt que guérir. L'option « Protéger l'objet des suppressions accidentelles », cochée par défaut sur les OU créées avec la console, bloque la suppression tant qu'elle n'est pas retirée. Vérifiez qu'elle est active sur les OU sensibles, en particulier celles qui contiennent des comptes privilégiés et des serveurs.
Ce que la corbeille ne remplace pas
- Les modifications : un attribut modifié ou une appartenance retirée par erreur ne se restaurent pas depuis la corbeille ; seule la suppression d'objet est couverte.
- Le contenu hors annuaire : les paramètres des stratégies de groupe stockés dans SYSVOL ne sont pas restaurés avec l'objet GPO ; sauvegardez-les séparément.
- Les compromissions et corruptions : face à un rançongiciel ou à une forêt compromise, la corbeille est inutile. Seules des sauvegardes d'état système des contrôleurs, isolées et testées, et un plan de récupération de forêt éprouvé permettent de repartir.
Ce qu'un audit vérifie
- l'activation de la corbeille et la date à laquelle elle l'a été ;
- les valeurs de
msDS-deletedObjectLifetimeettombstoneLifetime; - la protection contre la suppression accidentelle sur les OU sensibles ;
- l'existence de sauvegardes de contrôleurs isolées, récentes et testées, ainsi que d'un plan de récupération de forêt.