怎么开启OU对象误删除保护功能并在误删后恢复-windows运维-PHP中文网

OU的“防手滑删除”需手动启用Protect from accidental deletion标志位，仅作用于当前OU；AD回收站必须提前启用才可还原已删OU，否则不可逆丢失。

ou本身没有全局防护机制，保护靠的是一个叫 protect from accidental deletion 的对象级标志位——它不是策略，不继承，也不自动生效，必须手动勾选或用脚本批量打上。

在 Active Directory 用户和计算机 中，先点「查看 → 高级功能」，否则「对象」选项卡压根不会出现
右键目标OU → 「属性」→ 切到「对象」选项卡 → 勾选 防止对象被意外删除
这个设置只管当前OU一层，子OU、用户、组全不受影响；想全覆盖，得用PowerShell跑一遍：Get-ADOrganizationalUnit -Filter * | Set-ADObject -ProtectedFromAccidentalDeletion $true
勾选后，普通删除操作会直接报错「访问被拒绝」，连确认弹窗都不会弹——这是正常现象，不是失败

不能。AD原生不提供“撤回删除”功能，AD Recycle Bin 是唯一支持还原已删OU的内置方案，但它有个死规矩：必须在OU被删**之前**就启用，否则所有已删对象都进不了回收站，只留下墓碑（tombstone）等垃圾收集进程扫走。

检查是否启用：Get-ADOptionalFeature -Filter {Name -eq "Recycle Bin Feature"}，看 EnabledScopes 是否非空
如果返回空，说明没启用，现在启用也救不了历史删除——它不回溯生效
未启用+无备份=不可逆丢失，第三方工具（如Quest、Netwrix）也无能为力，除非你早开了审计日志并存了完整变更快照

回收站里的对象带 Deleted 和 lastKnownParent 属性，还原关键就是靠它们定位原始位置和上下文，不是随便挑个DN就能 Restore。

查被删OU：Get-ADObject -Filter {Deleted -eq $true -and ObjectClass -eq 'organizationalUnit'} -IncludeDeletedObjects
按原路径还原（推荐）：Get-ADObject -LDAPFilter "(msDs-LastKnownRDN=Sales)" -IncludeDeletedObjects | Restore-ADObject
还原后OU会回到原父容器下，但ACL、GPO链接、委托权限可能丢失或不完整，得人工核对补全
别漏掉OU里的人和组：回收站默认不递归还原子对象，要单独查：Get-ADObject -SearchBase "CN=Deleted Objects,DC=domain,DC=com" -Filter {lastKnownParent -eq "OU=Sales,DC=domain,DC=com"} -IncludeDeletedObjects | Restore-ADObject

它们绕过回收站，直操作墓碑对象，但风险高、步骤碎、易出错，2026年仍可用，但只该是“没退路时的备选”，不是首选。

adrestore.exe 是命令行小工具，需反复执行两次才能还原OU及其子对象，且还原后用户账户默认是禁用状态，容易忽略启用步骤
LDP.exe 或 ADSI Edit 手动修改 isDeleted 和 lastKnownParent 属性，稍有拼写错误或DN格式不对，对象就永久损坏
用 ADSI Edit 改 tombstoneLifetime 不影响已删对象恢复，只影响未来删除的保留时长；改完还得等GC周期（默认24小时）才生效

真正容易被忽略的点是：还原后OU的 ntSecurityDescriptor（安全描述符）常不完整，尤其跨林迁移或曾用脚本批量设过权限的OU，得用 Get-Acl + Set-Acl 对比基线重置，否则后续委派或GPO应用可能静默失败。