Cách khôi phục tài khoản người dùng đã xóa Active Directory (không bật thùng rác Active Directory) bằng LDP.EXE | Điều 2#4 | Phần 14#23
Trong bài viết hiện tại, chúng tôi sẽ xem xét quá trình khôi phục Active Directory đã xóa người dùng trong trường hợp thùng rác Active Directory chưa được bật (kích hoạt). Chúng tôi sẽ xem xét cách khôi phục đối tượng Active Directory đã xóa bằng công cụ máy chủ Windows tích hợp có tên LDP.EXE.
LDP.EXE không được tạo ra như một “công cụ chuyên dụng” để khôi phục đối tượng đã xóa Active Directory. Tuy nhiên, chúng ta có thể tận dụng và sử dụng các khả năng nâng cao của công cụ này để “nói chuyện” với Active Directory, tìm kiếm đối tượng Active Directory và cập nhật các đối tượng Active Directory hiện có.
Ví dụ: chúng tôi sẽ sử dụng khả năng của công cụ LDP.EXE để kết nối Active Directory bằng LDAP và “hiển thị” thư mục hệ thống ẩn theo mặc định có tên - Đối tượng đã xóa.
Trong giai đoạn đầu tiên, chúng tôi sẽ sử dụng LDP.EXE làm “công cụ trình duyệt” cho phép chúng tôi xem nội dung của Active Directory Đối tượng đã xóa lưu trữ cũng như định vị và chọn một đối tượng đã xóa cụ thể.
Giai đoạn tiếp theo sẽ là - thay đổi trạng thái của đối tượng người dùng Đã xóa mềm từ trạng thái đối tượng Tombstoned, sang trạng thái MỚI có thể được mô tả là - đối tượng không phải Tombstoned.
Nói cách khác - khôi phục đối tượng đã xóa (thay đổi trạng thái của đối tượng Soft Deleted thành - Active).
Khôi phục đối tượng Active Directory bằng cách triển khai - Tạo lại các đối tượng Tombstone Active Directory
Chỉ là một lời nhắc nhở nhanh về khái niệm kho lưu trữ Đối tượng đã xóa của Active Directory.
Khả năng khôi phục các đối tượng đã bị xóa trong Active Directory được thực hiện nhờ cơ chế Active Directory tích hợp được mô tả là - Active Directory Đối tượng đã bị xóa lưu trữ.
Trong môi trường Active Directory, khi một đối tượng bị xóa, đối tượng đó không bị xóa vĩnh viễn. Thay vào đó, trong trường hợp thùng rác Active Directory không được bật, thông báo “đã xóa object ” sẽ được lưu trữ trong một thư mục Active Directory đặc biệt có tên - Đối tượng đã xóa.
Hầu hết các thuộc tính của “Đối tượng đã xóa” sẽ bị xóa (tước bỏ) bên cạnh một tập hợp thuộc tính rất hạn chế như - GUID, SID và Tên.
Đối tượng đã xóa sẽ được coi là - “Đã xóa mềm”. Một thuật ngữ kỹ thuật khác để mô tả danh tính đối tượng đã xóa mềm - Đối tượng Tombstone.
Quá trình chúng tôi khôi phục Đối tượng Tombstone được mô tả là - Tái tạo.
Trong phần tiếp theo, chúng tôi sẽ trình bày cách sử dụng công cụ LDP.EXE để triển khai khái niệm “Tái tạo đối tượng Tombstone Active Directory” (khôi phục các đối tượng Active Directory đã xóa mềm).
Bạn có thể đọc thêm thông tin về khái niệm Active Directory và đối tượng bị xóa trong bài viết - Đã xóa Active Directory đã xóa Tài khoản người dùng và kho lưu trữ đối tượng đã xóa | Giới thiệu cơ bản | Điều 1#4 | Phần 13#23
Mô tả kịch bản
Để có thể minh họa cách chúng tôi sử dụng tiện ích LDP.EXE để - khôi phục tài khoản người dùng Active Directory đã xóa mềm, hãy sử dụng tình huống sau:
- Katy Perry là người dùng tổ chức (người dùng Active Directory) được tạo trong đơn vị tổ chức Active Directory có tên - Ca sĩ nổi tiếng.
- Katy Perry Tài khoản người dùng Active Directory đã bị xóa!
- “Tên miền cục bộ” của Active Directory là - local
- Tên máy chủ Active Directory (Bộ điều khiển miền) là - DC01
Sứ mệnh
Khôi phục tài khoản người dùng Katy Perry Active Directory!
Giải pháp
Chúng tôi sẽ sử dụng tiện ích LDP.EXE cho:
- Xem nội dung của Active Directory Đối tượng đã xóa
- Xác định vị trí tài khoản người dùng đã xóa mềm cụ thể (tài khoản người dùngKaty Perry).
- Khôi phục tài khoản người dùng đã xóa mềm về đơn vị tổ chức ban đầu của anh ấy.
Sử dụng tiện ích LDP để khôi phục người dùng Active Directory đã xóa mềm
Tiện ích LDP.EXE được cài đặt theo mặc định như một phần của máy chủ Windows. Để “gọi” tiện ích LDP.EXE, chúng ta sử dụng dấu nhắc lệnh.
Điều quan trọng là chúng tôi kích hoạt dấu nhắc lệnh với tư cách quản trị viên
- Nhấp chuột phải vào dấu nhắc lệnh và chọn tùy chọn menu - Chạy với tư cách quản trị viên
- Nhập tên tệp - LDP.exe
Trong ảnh chụp màn hình sau, chúng ta có thể thấy “nội dung trống” của tiện ích LDP.
Giai đoạn 1#4 - kết nối tiện ích LDP với Active Directory cục bộ
Trong giai đoạn đầu tiên, chúng ta cần kết nối máy chủ Domain Controller (Domain Controller là máy chủ chứa bản sao của Active Directory).
- Chọn menu Kết nối rồi chọn Kết nối… thực đơn
- Trong hộp máy chủ, gõ tên của máy chủ điều khiển miền. Trong ví dụ của chúng tôi, chúng tôi kết nối một máy chủ kiểm soát tên miền có tên- DC01.
- Để nguyên cài đặt mặc định và nhấp vào OK
Trong ảnh chụp màn hình sau, chúng ta có thể thấy tiện ích LDP quản lý thành công việc kết nối máy chủ DC. Ở “bút bên phải”, chúng ta có thể thấy thông tin đã được “tìm nạp” từ Active Directory.
Để hoàn tất kết nối với máy chủ Bộ điều khiển miền, chúng tôi sẽ cần xác minh thông tin xác thực người dùng hiện có.
- Chọn menu Kết nối rồi Ràng buộc… thực đơn
Tùy chọn mặc định là - Liên kết với tư cách người dùng hiện đã đăng nhập. Trong ví dụ của chúng tôi, chúng tôi đăng nhập bằng tài khoản người dùng Quản trị viên tên miền. Vì vậy, trong trường hợp này, chúng tôi sẽ để lại tùy chọn mặc định (chúng tôi không cần cung cấp một bộ thông tin xác thực người dùng khác).
Giai đoạn 2#4 - xác định chế độ xem cụ thể cần thiết để hiển thị nội dung của Active Directory Đối tượng đã xóa thư mục
Trong giai đoạn này, chúng tôi định cấu hình tiện ích LDP để “kết nối ” thư mục Active Directory ẩn có tên - “Đối tượng đã xóa,” lưu trữ tất cả các đối tượng Active Directory đã xóa mềm hiện có.
- Chọn menu Tùy chọn và menu phụ - Điều khiển
- Để xác định yêu cầu “chế độ xem ” (hiển thị đối tượng Đã xóa mềm), chúng tôi sẽ sử dụng danh sách thả xuống Tải được xác định trước.
- Trong hộp thoại Điều khiển hoạt động, mở rộng danh sách thả xuống Tải định sẵn, nhấp vào Trả lại các đối tượng đã xóa rồi nhấp vào OK >.
- Nhấp vào OK.
Giai đoạn 3#4 - xem “cây Active Directory”. ”
Để có thể xem cây Phân cấp Active Directory, chúng ta sẽ sử dụng menu Cây
- Chọn menu Xem rồi chọn Cây thực đơn
Bây giờ, chúng ta sẽ cần “thông báo” cho tiện ích LDP, “phân vùng” Active Directory mà chúng ta muốn kết nối.
Chúng tôi xác định tên của phân vùng miền Active Directory trong hộp BaseDn bằng cú pháp x.500 LDAP .
Chúng ta có thể nhập “đường dẫn” được yêu cầu bằng cách nhập thông tin theo cách thủ công hoặc chọn phân vùng miền Active Directory được yêu cầu từ danh sách thả xuống.
- Nhấp vào mũi tên nhỏ màu đen xuất hiện ở bên phải hộp BaseDn
- Chọn từ danh sách tên miền Active Directory của bạn.
Trong ví dụ của chúng tôi, phân vùng miền\đường dẫn là - DC=o365info, DC=local
- Chọn tên miền được yêu cầu và nhấp vào OK
Ở phía bên trái, chúng ta có thể thấy tiện ích LDP được kết nối với phân vùng miền gốc
(DC=o365info, DC=local trong ví dụ của chúng tôi).
- Bấm vào dấu plus để mở rộng nội dung
Trong ảnh chụp màn hình sau, chúng ta có thể thấy cấu trúc phân cấp của Active Directory.
Trong ví dụ của chúng tôi, đường dẫn của Đối tượng đã xóa là:
CN=Đối tượng đã xóa, DC=o365info, DC= local
Để xem nội dung cây Active Directory nhấn vào dấu cộng (số 1).
Lưu ý rằng bây giờ chúng ta có thể thấy thư mục bị ẩn theo mặc định - thư mục Active Directory Đối tượng đã xóa .
Để xem nội dung của thư mục Active Directory Các đối tượng đã xóa , hãy nhấp vào dấu cộng (số 2).
“Bên dưới” thư mục Active Directory Đối tượng đã xóa, chúng ta có thể xem danh sách các đối tượng Đã xóa mềm hiện có.
Giai đoạn 4#4 - khôi phục tài khoản người dùng đã xóa mềm
Như đã đề cập, trong ví dụ của chúng tôi, chúng tôi muốn khôi phục tài khoản người dùng đã xóa mềm của Katy.
- Xác định vị trí đối tượng đã xóa mềm cần thiết (tài khoản người dùng Katy Soft đã xóa trong ví dụ của chúng tôi),
nhấp chuột phải và chọn - Sửa đổi.
Trong hộp thoại Sửa đổi:
- Trong Chỉnh sửa thuộc tính mục nhập, nhập isDeleted.
- Để trống hộp Giá trị
- Trong Thao tác, nhấp vào Xóa rồi nhấp vào Enter.
- Trong hộp Chỉnh sửa Thuộc tính mục nhập , nhập distinguishedName
- Trong Giá trị, nhập tên phân biệt ban đầu (còn được gọi là DN) của đối tượng Active Directory này.
Hướng dẫn cho biết - “gõ tên phân biệt ban đầu (còn được gọi là DN). Nhưng tôi chắc chắn rằng hầu hết chúng ta đều không quen thuộc với thuật ngữ này.
Ngay cả khi chúng ta biết ý nghĩa của thuật ngữ này, thì hầu hết chúng ta đều không biết “tên phân biệt ban đầu” chính xác là gì.
Để có thể “tìm nạp” giá trị của “tên phân biệt ban đầu”, chúng ta cần thực hiện “đào nhỏ” trong các thuộc tính Đã xóa mềm tồn tại ở khung bên phải của màn hình tiện ích LDP.
Thông tin về “tên gốc” được chia thành hai phần:
Phần 1#2 - LastKnownParent
Chúng tôi sẽ tìm kiếm một giá trị có tên - lastKnownParent
Trong trường hợp cụ thể của chúng tôi, giá trị là-
lastKnownParent: OU=Famous Singers,DC=o365info,DC=local;
Phần 2#2
Tìm giá trị có tên - CN
Trong trường hợp cụ thể của chúng tôi, giá trị CN là - CN=Katy Perry
Giá trị của “tên phân biệt gốc” được thực hiện bằng cách “dán” hai phần.
Trong sơ đồ sau, chúng ta có thể thấy “cấu trúc” mà chúng ta cần sử dụng:
Trong ví dụ của chúng tôi, giá trị của “tên phân biệt gốc” là:
CN=Katy Perry,OU=Ca sĩ nổi tiếng,DC=o365info,DC=local
Nói một cách đơn giản, đây là “địa chỉ Active Directory” xác định vị trí tài khoản người dùng của Katy đã bị xóa mềm.
- Trong Thao tác, nhấp vào Thay thế (số 1)
- Nhấp vào Nhập (số 3)
- Đảm bảo rằng hộp kiểm Mở rộng được chọn (số 2)
- Nhấp vào Chạy (số 4)
Trong ảnh chụp màn hình sau, chúng ta có thể thấy rằng khi nhìn vào OU Ca sĩ nổi tiếng, chúng ta có thể thấy rằng tài khoản Người dùng đã xóa mềm đã được khôi phục thành công!
Xử lý tình huống - nhiều tài khoản người dùng đã bị Xóa mềm có “danh tính giống hệt nhau. ”
Trong phần này, tôi muốn đề cập đến một tình huống phức tạp, trong đó chúng ta cần khôi phục tài khoản người dùng đã xóa mềm, nhưng “vấn đề” là Active Directory Đối tượng đã xóa lưu trữ bao gồm hai (hoặc nhiều) tài khoản người dùng có vẻ giống hệt nhau.
Loại kịch bản này có thể xảy ra trong trường hợp tài khoản người dùng Active Directory đã bị xóa và tạo một vài lần.
Ví dụ,
- Người dùng Active Directory được tạo và sau đó bị xóa (Xóa mềm).
- Sau một thời gian, người dùng Active Directory có cùng tên hiển thị và địa chỉ E-mail sẽ được tạo lại với tư cách là người dùng Active Directory MỚI.
- Sau một thời gian, tài khoản người dùng Active Directory MỚI sẽ bị xóa.
Trong trường hợp này, thùng rác Active Directory sẽ bao gồm hai tài khoản người dùng có vẻ giống hệt nhau.
Tôi dùng thuật ngữ “có vẻ giống hệt nhau” bởi vì, hai tài khoản người dùng Soft Deleted có cùng tên hiển thị, địa chỉ E-mail nhưng có không giống nhau!
“Sự khác biệt thực sự” giữa tài khoản người dùng Soft Deleted có vẻ giống hệt nhau là:
- Mã định danh duy nhất - giá trị GUID và SID.
- Các giá trị được tạo và cập nhật - “ngày tạo ” (Khi được tạo) và “ngày xóa ” (Khi thay đổi).
Lưu ý - lưu ý rằng Active Directory không sử dụng thuộc tính cụ thể như “khi bị xóa”.
Thay vào đó, thuộc tính “cho chúng tôi biết ” khi nào đối tượng bị xóa là - Khi được thay đổi.
Để có thể chứng minh trường hợp như vậy, hãy sử dụng tình huống sau:
- Katy Perry là người dùng của tổ chức (người dùng Active Directory) được tạo trong đơn vị tổ chức Active Directory có tên - Ca sĩ nổi tiếng.
- Katy Perry Tài khoản người dùng Active Directory đã bị xóa!
- Sau một thời gian, Quản trị viên Active Directory, hãy tạo một tài khoản người dùng Active Directory MỚI cho Katy Perry, với các chi tiết giống như tài khoản người dùng trước đó đã bị xóa, chẳng hạn như - cùng tên hiển thị, E-mail địa chỉ và như vậy.
- Sau một thời gian, tài khoản người dùng Active Directory Katy Perry MỚI đã bị xóa!
Sứ mệnh
Chúng tôi được yêu cầu khôi phục tài khoản người dùng Active Directory Katy Perry “gốc”!
Nói cách khác, tài khoản người dùng Active Directory Katy Perry đã được tạo trước Tài khoản người dùng Katy Perry MỚI.
Giải pháp
Để có thể đáp ứng yêu cầu này, chúng tôi sẽ sử dụng tiện ích LDP.EXE cho:
- Xem nội dung của Active Directory Đối tượng đã xóa
- Xác định vị trí hai tài khoản người dùng đã Xóa mềm cụ thể, nghĩa là - “tài khoản người dùng ban đầu Katy Đã xóa mềm” và Katy tài khoản người dùng MỚI đã xóa mềm).
- Xác định vị trí “WhenCreated ” (Ngày tạo đối tượng Active Directory) của mỗi tài khoản người dùng Katy đã được xóa mềm.
- So sánh giữa các giá trị của “WhenCreated” và xác định vị trí của “WhenCreated cũ hơn. ”
- Khôi phục tài khoản người dùng đã xóa mềm “gốc” về đơn vị tổ chức ban đầu của anh ấy.
Nói cách khác, chúng tôi muốn khôi phục tài khoản người dùng có “ngày tạo ” (Khi được tạo) sớm hơn “ngày tạo ” (Khi được tạo) của tài khoản người dùng MỚI được tạo ra ở giai đoạn sau.
Trong trường hợp này, chúng tôi cần “tìm nạp” thông tin này theo một cách nào đó và dựa trên thông tin này, “địa chỉ” tài khoản người dùng đã Xóa mềm cụ thể mà chúng tôi muốn khôi phục.
Trong ảnh chụp màn hình sau, chúng ta có thể thấy khi nào chúng ta sử dụng LDP.EXE để xem nội dung của các Đối tượng đã xóa Active Directory; chúng ta có thể thấy Hai trường hợp của tài khoản người dùng Katy đã bị xóa mềm.
Như đã đề cập, để có thể phân biệt giữa hai tài khoản người dùng có vẻ giống hệt nhau này, chúng ta sẽ tìm giá trị của - “WhenCreated ” (Ngày tạo của đối tượng Active Directory).
Chúng tôi ngẫu nhiên chọn một trong các “tài khoản người dùngKaty đã bị xóa mềm”.
Trong ví dụ cụ thể của chúng tôi, chúng tôi chọn tài khoản người dùng Katy's đã được xóa mềm ở "dưới cùng" (số 1).
Ở bút bên phải, chúng ta tìm thuộc tính có tên - “WhenCreated ”
Giá trị của “WhenCreated ” là - 10/10/2016 4:56:34 AM
Chúng tôi sẽ thực hiện quy trình tương tự với “tài khoản người dùng Katy's đã được xóa mềm thứ hai ” (số 2).
Ở bút bên phải, chúng ta tìm thuộc tính có tên - “WhenCreated ”
Giá trị của “WhenCreated ” là - 10/10/2016 12:05:18 AM
Để có thể quyết định ai là tài khoản người dùng Active Directory “gốc”, chúng tôi so sánh ngày tạo của hai tài khoản người dùng đã xóa mềm.
Trong sơ đồ sau, chúng ta có thể thấy gian hàng của tài khoản người dùng Active Directory này được tạo vào cùng ngày (10/10/2016) nhưng…
Tài khoản người dùng Katy đã được xóa mềm mà chúng tôi “đóng dấu” là số 2, được tạo vào một giờ trước đó.
Và câu trả lời là - tài khoản người dùng này là “tài khoản người dùng Active Directory gốc”!
Bài viết tiếp theo trong loạt bài hiện tại
Cách khôi phục tài khoản người dùng đã xóa Active Directory (thùng rác Active Directory chưa được bật) bằng AdRestore, AdRestore.net và LEX - LDAP explorer | Điều 3#4 | Phần 15#23