AD回收站启用后可精准恢复误删的OU及子对象，保留全部属性与权限，但必须提前启用且不可关闭；未启用前删除的对象无法恢复。
ad回收站（active directory recycle bin）是windows server 2008 r2及更高版本中引入的功能，启用后可恢复被删除的ou、用户、组、计算机等对象，包括其属性、成员关系和acl权限。但需注意：必须在对象被删除前启用回收站，且仅支持林级别启用，不可逆向恢复已禁用回收站期间删除的对象。
确认AD回收站是否已启用
回收站功能默认关闭，启用后无法关闭。检查方法如下：
- 打开“Active Directory模块 for Windows PowerShell”
- 运行命令：Get-ADOptionalFeature -Filter 'Name -eq "Recycle Bin Feature"' | Select-Object Name,EnabledScopes
- 若 EnabledScopes 显示为非空（如 {DC=contoso,DC=com}），说明已在林范围内启用
- 若为空，说明未启用——此时无法恢复，只能从备份或系统状态还原
查找并恢复被删除的OU及其子对象
回收站中的对象处于“已删除但可恢复”状态，保留完整层级结构。恢复时会自动还原OU本身及其所有子对象（含嵌套OU、用户、组等），无需逐个操作：
- 使用PowerShell执行：Get-ADObject -Filter 'Deleted -eq $true -and ObjectClass -eq "organizationalUnit"' -IncludeDeletedObjects
- 结果中找到目标OU（Deleted列显示True，ObjectGUID和DistinguishedName可辅助识别）
- 执行恢复命令：Restore-ADObject -Identity "CN=DeletedOU\0ADEL:xxxxxxxx...xxx,CN=Deleted Objects,DC=contoso,DC=com"
- 恢复后，OU将回到原位置，所有子对象、组策略链接、权限继承均保持删除前状态
注意事项与常见限制
即使启用了回收站，恢复过程仍受若干关键约束：
- 不能跨林恢复：仅限本林内操作，跨域迁移后删除的对象仍可恢复，但目标域必须属于同一林
- 不恢复已重命名或移动过的对象：回收站只记录删除时的状态，不跟踪后续改名或移动历史
- 安全主体SID不变：恢复后用户/组的SID与删除前一致，不会触发重复SID问题
- 部分属性可能丢失：如LastLogonTimestamp、PasswordLastSet等动态属性在恢复后不会回滚，而是保留删除时刻的值
验证恢复结果
恢复完成后建议立即验证关键功能是否正常：
- 在ADSI Edit或ADUC中确认OU已出现在原始父容器下
- 检查子对象是否完整存在（特别是关键用户和组）
- 测试组策略应用：运行 gpresult /r 或查看组策略管理控制台中的链接状态
- 验证权限：右键OU → “属性” → “安全”选项卡，确认管理员组和其他委托权限仍在
