ou删除默认级联删除子对象，需先检查“防止意外删除”保护并启用高级功能取消勾选；建议优先迁移子对象或启用ad回收站再删除，直接删除仅限测试环境且不可逆。
组织单位（ou）删除时，其下的子对象（如用户、组、计算机、嵌套ou等）默认会被一并删除，但具体行为取决于是否启用“防止意外删除”保护以及是否使用回收站功能。处理关键在于提前规划和选择合适的方式：直接删除、先移出再删，或启用回收站实现安全回退。
确认OU是否受删除保护
若右键删除OU时报错“你没有足够的权限删除，或者该对象受保护”，说明该OU启用了“防止对象被意外删除”属性：
- 打开“Active Directory 用户和计算机”，启用“高级功能”（菜单栏 → 查看 → 高级功能）
- 右键目标OU → “属性” → 切换到“对象”选项卡
- 取消勾选“防止对象被意外删除”，点击“应用”
- 此时才能正常执行删除操作，否则系统会阻止任何删除尝试
删除前评估子对象影响范围
OU删除是级联操作，所有直接/间接子对象将随OU一同从目录中移除（非回收站状态）。建议先用命令快速盘点：
- PowerShell：`Get-ADOrganizationalUnit "OU=Test,DC=contoso,DC=com" | Get-ADObject -Filter * -IncludeDeletedObjects | Measure-Object` 可统计当前OU下全部对象数量
- dsquery：`dsquery * "OU=Test,DC=contoso,DC=com" -limit 0` 列出所有子对象DN
- 重点关注是否存在关键用户、服务账户、GPO链接或嵌套OU——这些一旦丢失可能影响业务系统或策略生效
三种典型处理方式及适用场景
方式一：先迁移后删除（最稳妥）
适用于需保留子对象、仅调整组织结构的场景：
- 用ADUC拖拽或将子对象批量移动至其他OU（如“已停用用户”OU或根域CN=Users）
- 确认移动完成且权限/GPO继承正常后，再删除空OU
- 优势：零数据丢失，无恢复依赖；缺点：操作步骤多，需逐个验证
方式二：启用AD回收站后删除（推荐长期策略）
前提是已在林级别启用回收站功能（不可逆，且必须在删除前启用）：
- 删除后，OU及其全部子对象进入“已删除对象”容器，保持完整结构与ACL
- 可通过PowerShell精准恢复：`Restore-ADObject -Identity "CN=DeletedOU\0ADEL:xxx...,CN=Deleted Objects,DC=contoso,DC=com"`
- 恢复后子对象位置、成员关系、GPO链接全部还原，SID不变
方式三：直接删除（仅限测试或确认无价值数据）
不建议在生产环境使用，除非明确知晓后果且无备份/回收站支持：
- 删除后无法通过AD原生功能恢复，只能依赖系统状态备份或第三方工具
- 动态属性（如LastLogonTimestamp）不会回滚，恢复后显示删除时刻值
- 若OU含大量对象，删除过程可能耗时较长，期间AD复制可能短暂延迟
删除后验证要点
无论采用哪种方式，完成操作后都应立即验证：
- 在ADUC或ADSI Edit中确认OU及其子对象是否已按预期消失或迁移到位
- 检查相关GPO是否仍正确链接到目标容器（尤其注意被删除OU曾链接的策略是否意外失效）
- 若涉及服务账户或应用程序依赖，登录对应系统测试身份验证与权限访问是否正常
- 对已启用回收站的环境，可执行`Get-ADObject -Filter 'Deleted -eq $true' -IncludeDeletedObjects`确认无残留误删项
