AD回收站未启用时，误删账号无法常规还原，须抢在垃圾回收前用LDP工具权威还原或手动重建；若对象已被物理清除，则依赖备份或重做。
如果ad回收站功能未启用，误删的账号不会进入“已删除的对象”容器，而是直接被标记为可回收状态——此时无法用常规还原方式恢复，必须走人工恢复流程。核心在于：抢在垃圾回收完成前，利用残留数据重建账号，并手动补全关键属性。
确认对象是否仍可恢复
AD默认标记存留期为180天，但实际能否恢复取决于垃圾回收是否已执行。域控制器每12小时运行一次内存回收，一旦该过程清理了已删除对象，就彻底不可逆。
- 立即检查所有域控制器的LastKnownParent和WhenChanged属性，使用命令：
Get-ADObject -Filter {SamAccountName -eq "username"} -IncludeDeletedObjects -Properties LastKnownParent,WhenChanged - 若返回空结果，说明对象已被垃圾回收，只能依赖备份或重做
- 若返回对象但Deleted值为False，说明它根本没被逻辑删除，需排查是否被移动或禁用
用LDP工具执行权威还原（无回收站时的唯一原生方案）
LDP.exe是Windows Server自带的轻量LDAP工具，可在回收站关闭时直接操作数据库底层，前提是对象尚未被物理清除。
- 以域管理员身份运行ldp.exe → 连接到任意域控制器 → 绑定
- 选择菜单View → Tree，在BaseDN中输入被删账号原OU路径（如OU=Users,DC=contoso,DC=com）
- 在右侧窗口搜索(objectClass=user)(sAMAccountName=username)，确认是否存在残留条目
- 若找到，右键该条目 → Modify → 添加新行：
Attribute: isDeleted，Value: FALSE，点击Enter；再添加：
Attribute: distinguishedName，Value: 原完整DN（如CN=John Doe,OU=Users,DC=contoso,DC=com），提交修改
手动重建账号并补全关键属性
若LDP找不到残留对象，只能新建账号并尽可能还原原始配置。重点不是“一模一样”，而是保障业务连续性。
- 用New-ADUser创建同名账号，指定原SamAccountName、UserPrincipalName和DisplayName
- 重置密码时勾选Cannot change password和Password never expires（若原策略如此）
- 用Set-ADUser -Replace @{sIDHistory="S-1-5-21-xxx"}写入旧SID（仅限迁移场景，非误删常规操作）
后续加固与预防措施
人工恢复耗时且易出错，应立即推动机制改进，避免重复发生。
- 升级林功能级别至Windows Server 2008 R2或更高，运行Enable-ADOptionalFeature "Recycle Bin Feature" -Scope ForestOrConfigurationSet -Target "contoso.com"
- 为高风险OU（如Users、Admins）启用Protect from accidental deletion属性
- 部署PowerShell脚本定期导出关键用户列表（含组成员、密码策略、登录脚本），存为CSV离线备份
- 对批量操作（如Import-Csv + New-ADUser）强制加入-WhatIf预检和审批流程
