LDP工具恢复误删账号

LDP.exe需要安装光盘support文件夹中SUPTOOLS.MSI

      今天使用该工具恢复了一个需要恢复的域账号，特做记录备忘。

          可以用这个工具绑定DC，获得对象的信息，还可以“修改”，搜索、添加、删除等。还允许你查找被删除的对象。作用类似AD用户和计算机，功能更强大。可查看AD对象更详细的信息，如GUID、SID等。

1、安装：运行03光盘\SUPPORT\TOOLS\ suptools.msi，将安装在C:\ProgramFiles\Support Tools夹下， 还有许多别的工具，如接下来的ADSIedit.msc。

2、使用：

             （1）开始/运行：ldp，启动LDP。

             （2）连接/绑定：管理员帐号。

              （3）查看/树，输进BaseDN，如dc=mcse03,dc=com。这样就可以对AD对象进行查看、编辑、添加、删除等。LDP还原单个误删除对象如：用户账号，组，ou等

 

对应实际操作：

         调用ldp.exe的主程序窗口后,它需要先确认召唤它的主人的身份.点击Connection(连接),然后在下拉菜单中点击Bind(绑定),  然后输进自己的具有域管理员身份的帐号和密码还有要登录的域名,点击"OK".  可以看到通过身份验证的提示和一大串别的信息.在"Options"菜单中，单击“Controls”,展开"Load"下拉菜单,单击"Return deletedobjects",然后"确定".  又回到主画面,点击"View"--->"Tree",在BaseDN中输进DC=CONTOSO,DC=COM,点击"OK".  在控终龚树中双击根DN,终于可以看到CN=DeletedObjects,DC=contoso,DC=com容器了.  接着在这个被删除对象上右键,选择"Modify".  然后在弹出的对话框中依次执行:1.在“Edit Entry Attributes”中输进 isDeleted2.保留“Values”框为空值

 

3.在“Operation”下单击“Delete”，然后单击“Enter”

4.在“Edit Entry Attributes”中，输进 distinguishedName

5.在“Values”中，键进此 Active Directory对象的原始DN（可分辨名称）:CN=f6825091,OU=Finance,DC=contoso,DC=com

6.在“Operation”下单击“Replace”

7.选中“Extended”复选框，单击“Enter”，然后单击“Run”  如果一切顺利,不会返回任何error信息. 

 

回到"ActiveDirectory用户和计算机"控终龚上点击进用户原来的OU,可以看到用户账号已经被还原回来了.可需要重新设置密码和启动账户 

 

你会发现,除了被还原回来的账号处于禁用状态,其属性中还丢失了很多信息,例如,姓名,所属组等.这是设计使然.当活动目录对象被删除时,除了objectGUID属性等被保留,其他属性都会被剔除.如果我们想要修改墓碑对象中哪个属性会被保留,需要使用ADSIEDIT.MSC工具打开活动目录架构,找到想要保留的每个属性(例如Address)，设置对应的searchFlags属性值为0x00000008。然而链接属性，就像组成员关系，即使设置也不能保留。所以被还原回来的用户帐号还需要手动再加一遍组成员关系等. 

 

另外AdRestore.exe使用起来很简单,命令提示符中键进adrestore回车,就可以看到被删除的活动目录对象信息,然后使用adrestore -r 后面加想要被还原的对象的cn,回车会提示是否要还原选定对象,键进Y,再回车,被删除的用户也顺利恢复了.比起使用ldp.exe可真是大大节省了时间.不过和ldp.exe一样,存在帐户属性信息丢失和所属组丢失的情况.