Назначение корзины Active Directory.

Назначение корзины Active Directory.

Если корзина Active Directory включена, все ссылочные и нессылочные атрибуты удаленных объектов сохраняются, а объекты полностью восстанавливаются в том же логически согласованном состоянии, в котором они находились непосредственно перед удалением. Например, восстановленные учетные записи пользователя автоматически восстанавливают все членства в группах и соответствующие права доступа, которыми они обладали внутри и вне доменов в момент перед удалением. Корзина Active Directory применяется для сред AD DS и AD LDS. По умолчанию корзина Active Directory отключена (чтобы включить ее, сначала необходимо поднять уровень работы леса в среде AD DS или AD LDS хотя бы до Windows Server 2008 R2, а это в свою очередь приводит к тому, что все контроллеры доменов в лесу или все серверы, на которых размещаются экземпляры набора конфигурации AD LDS, тоже будут работать под управлением Windows Server 2008 R2). Процесс включения корзины Active Directory в Windows Server 2008 R2 необратим. После включения корзины Active Directory для конкретной среды отключить ее будет нельзя.
Новая функциональность корзины Active Directory. После включения корзины Active Directory в Windows Server 2008 R2 при удалении объекта Active Directory система сохраняет все ссылочные и нессылочные атрибуты объекта, после чего он становится логически удаленным (это новое состояние, появившееся с Windows Server 2008 R2). Удаленный объект перемещается в контейнер "Удаленные объекты", а его различающееся имя искажается. Удаленный объект остается в контейнере "Удаленные объекты" в логически удаленном состоянии на протяжении всего времени существования удаленного объекта. На рис. 1 показан жизненный цикл нового объекта Active Directory в Windows Server 2008 R2, когда корзина Active Directory включена.

Рис. 1.  Жизненный цикл объектов Active Directory в Windows Server 2008 R2 с включенной корзиной.

Время существования удаленного объекта определяется значением атрибута msDS-deletedObjectLifetime. Время существования отметки полного удаления определяется значением атрибута tombstoneLifetime. По умолчанию для атрибута msDS-deletedObjectLifetime устанавливается нулевое значение. Если атрибут msDS-deletedObjectLifetime имеет нулевое значение, то время существования удаленного объекта будет совпадать со временем существования отметки полного удаления. По умолчанию для атрибута tombstoneLifetime также устанавливается нулевое значение. Если атрибут tombstoneLifetime имеет нулевое значение, то время существования отметки полного удаления приравнивается к 180 суткам. Значения атрибутов msDS-deletedObjectLifetime и tomb-stoneLifetime можно изменить в любое время. После задания ненулевого значения msDS-deletedObjectLife этот атрибут более не будет принимать значение атрибута tombstone-Lifetime.

В течение времени существования удаленного объекта он может быть восстановлен, снова став активным объектом Active Directory. По истечении времени существования удаленного объекта логически удаленный объект превращается в утилизированный объект, а большая часть его атрибутов отбрасывается.
Когда удаленный объект Active Directory превращается в утилизированный, его восстановление становится невозможным. Данная возможность является новой для Windows Server 2008 R2. Утилизированный объект остается в контейнере "Удаленные объекты" до истечения времени существования отметки полного удаления. По умолчанию в средах AD DS и AD LDS, созданных путем чистой установки Windows Server 2008 R2, время существования отметки полного удаления составляет 180 суток.

По истечении времени существования отметки полного удаления процесс сборки мусора физически удаляет утилизированный объект Active Directory из базы данных.

Наличие зависимостей. По умолчанию в Windows Server 2008 R2 корзина Active Directory отключена. Чтобы включить ее, сначала необходимо поднять уровень работы леса в среде AD DS или AD LDS до Windows Server 2008 R2. Это в свою очередь приводит к тому, что все контроллеры доменов в лесу или все серверы, на которых размещаются экземпляры набора конфигурации AD LDS, будут работать под управлением Windows Server 2008 R2.

Подготовка и развертывание корзины Active Directory. Для включения корзины Active Directory в среде AD DS следует выполнить следующие действия:
    - запустите средство Adprep, чтобы внести в схему Active Directory все необходимые атрибуты корзины Active Directory. Минимальным требованием для выполнения следующих задач Adprep является членство в группе "Администраторы схемы";
    - подготовьте лес, выполнив команду adprep /forestprep на сервере, на котором размещена роль хозяина операций схемы (также называемая ролью FSMO), чтобы обновить схему;
    - подготовьте домен, выполнив команду adprep /domainprep /gpprep на сервере, на котором размещена роль хозяина операций инфраструктуры. Если в среде AD DS имеется контроллер домена только для чтения, также следует выполнить команду adprep /rodcprep; 
   - убедитесь, что все контроллеры домена в лесе Active Directory работают под управлением Windows Server 2008 R2;
   - повысьте режим работы леса Active Directory до Windows Server 2008 R2.