Belangrijkste punten
- Bevestig de verwijdering en kies de veiligste herstelmethode: gebruik Get-ADObject -IncludeDeletedObjects om verwijderde gebruikers of groepen te vinden voordat u een herstelpad kiest.
- Schakel de AD-Prullenbak in en controleer deze: gebruik PowerShell-opdrachten zoals Enable-ADOptionalFeature -Identity ‘Recycle Bin Feature’ en verifieer met Get-ADOptionalFeature.
- Herstel objecten veilig en documenteer het proces: gebruik Restore-ADObject -Identity om verwijderde gebruikers terug te halen en verplaats ze eventueel naar een staging-OU voor validatie.
- Herstel gekoppelde attributen en valideer de rechten: gebruik Get-ADUser -Properties memberOf om groepslidmaatschappen, servicePrincipalName en de integriteit van de ACL te bevestigen; controleer de authenticatie, de toegang tot resources en de toepassing van GPO’s via gpupdate en gpresult.
- Controleer de replicatie en de gezondheid van de hybride synchronisatie: voer repadmin /replsummary en repadmin /showrepl uit op alle domein controllers om de convergentie te bevestigen en lingering objects op te sporen.
- Verzamel bewijs en publiceer auditklare rapporten: bewaar PowerShell-logboeken, exports uit Logboeken en LDIFDE-bestanden van vóór en na het herstel in uw documentatiesysteem.
Onbedoelde verwijderingen in Active Directory kunnen veel problemen veroorzaken, zeker wanneer herstelacties onvolledig zijn of de replicatie niet gezond is. Weten hoe u een Active Directory-object herstelt met zo min mogelijk risico levert MSP’s veel op. Het beschermt uw gegevens en draagt bij aan de gezondheid van uw clouddirectory’s.
Een handleiding voor het herstellen van een verwijderde AD-gebruiker
📌 Vereisten:
- Functioneel domeinniveau Windows Server 2008 R2 of hoger voor de Prullenbak
- Prullenbak ingeschakeld (Get-ADOptionalFeature om dit te controleren)
- Gezonde replicatie (repadmin /replsummary) en SYSVOL (dfsrdiag pollad)
- Beheerdersreferenties op een domein controller of beheerhost
- Back-up van de systeemstatus of een eerdere LDIFDE-export voor autoritatieve herstelacties
- Een bewijsmap voor PowerShell-transcripties en validatie-uitvoer
Stap 1: bevestig de verwijdering en bepaal het herstelpad
Controleer via Windows PowerShell met verhoogde rechten of het object in de Prullenbak van Active Directory staat. Gebruik de volgende opdracht:
Get-ADObject -IncludeDeletedObjects -Filter 'Name -like "user"'
Vindt u het gezochte object, herstel het dan vanuit de Prullenbak. Bij tombstoned of gerepliceerde verwijderingen kunt u niet herstellen vanuit de Prullenbak. Dan moet u herstellen vanaf een back-up van de systeemstatus.
Stap 2: schakel de Prullenbak in en controleer deze indien nodig
Als de Prullenbak niet is ingeschakeld voor uw Active Directory-objecten, kunt u er niets uit herstellen. Schakel deze in via Windows PowerShell met verhoogde rechten met de volgende opdracht:
Enable-ADOptionalFeature -Identity 'Recycle Bin Feature' -Scope ForestOrConfigurationSet -Target 'forest.local'
Gebruik de volgende opdracht om te controleren of de Prullenbak op uw systeem is ingeschakeld:
Get-ADOptionalFeature
Leg de activeringsgegevens en de verificatie vast in uw bewijsbestand voor transparantie en zodat u alles in uw systeem kunt volgen.
Stap 3: herstellen via PowerShell
Zodra u het verwijderde Active Directory-object hebt gevonden, kunt u het herstellen via Windows PowerShell met verhoogde rechten. Gebruik de volgende opdracht:
Restore-ADObject -Identity "CN=John Doe\0ADEL:GUID,CN=Deleted Objects,DC=domain,DC=com"
U kunt ook -TargetPath gebruiken om het object naar een staging-OU te verplaatsen voor validatie.
Zodra het object is hersteld, legt u de transcriptie van uw PowerShell-opdrachten en de bijbehorende event-ID’s vast in uw logboeken voor transparantie en als bewijsbestanden.
Stap 4: werk met gekoppelde attributen en groepslidmaatschappen
Na het herstellen van het Active Directory-object moet u ervoor zorgen dat iedereen die er toegang toe had die toegang behoudt.
Controleer daarvoor de groepslidmaatschappen en de access control lists. Gebruik de volgende opdrachten:
Get-ADUser -Identity "John Doe" -Properties memberOf
Ontbreken er nog lidmaatschappen, herstel die dan handmatig of via een script.
Gebruik de velden servicePrincipalName, UPN en logonName om te valideren dat iedereen weer toegang heeft.
Stap 5: valideer de replicatie en lingering objects
Na het herstel moet u controleren of alles weer staat waar het hoort. Voer repadmin /showrepl en repadmin /replsummary uit op al uw domein controllers. Kijk of er waarschuwingen zijn over lingering objects. Controleer of de herstelde attributen bij alle partners zichtbaar zijn.
Leg daarna de replicatiestatus vast voor uw administratie.
Stap 6: controleer de hybride synchronisatie (indien van toepassing)
Gebruikt u Entra Connect, controleer dan of het herstelde object naar de cloud synchroniseert. Houd DirectorySyncClientCmd.exe of de portalstatus in de gaten. Ga zorgvuldig om met soft-deleted cloudaccounts om duplicaten te voorkomen.
Nadat u het AD-object hebt hersteld via PowerShell of de Prullenbak van Active Directory, controleert u of de immutable ID (sourceAnchor) en de DistinguishedName (DN) van het object overeenkomen met de vorige synchronisatiestatus.
Zijn de attributen inconsistent of gewijzigd, dan kan Entra Connect het object als nieuw beschouwen, wat leidt tot dubbele cloudaccounts.
U kunt het synchronisatieproces volgen door DirectorySyncClientCmd.exe /status uit te voeren in de opdrachtprompt. U kunt ook het Microsoft 365-beheercentrum > Gebruikers > Actieve gebruikers openen en zoeken naar de gebruiker die u hebt hersteld. Controleer het volgende:
- De gebruiker verschijnt onder Gesynchroniseerd met Active Directory
- Er zijn geen synchronisatiefouten
- Het tijdstip van de laatste synchronisatie klopt en is bijgewerkt
Stap 7: voer integriteits- en toegangscontroles uit
Controleer na het herstellen van een verwijderd gebruikersaccount in Active Directory of de gebruiker zich kan aanmelden of de rechten en groepslidmaatschappen overeenkomen met de situatie vóór de verwijdering en of de relevante Group Policy Objects (GPO’s) correct worden toegepast. Doe daarvoor het volgende:
- Laat de gebruiker inloggen op zijn of haar werkplek in het domein om te bevestigen dat het account actief is en niet vergrendeld of uitgeschakeld.
- Gebruik Get-ADUser username -Properties MemberOf | Select-Object -ExpandProperty MemberOf in Windows PowerShell om de herstelde groepslidmaatschappen te verifiëren.
- Gebruik gpupdate /force en gpresult /r om te controleren of het gebruikers- en het relevante computerbeleid worden toegepast.
- Voer repadmin /replsummary en repadmin /showrepl uit in de opdrachtprompt om te bevestigen dat er geen replicatiefouten of verouderde gegevens zijn.
Stap 8: documenteer en bewaar de artefacten
Verzamel PowerShell-transcripties, eventvwr-logboeken (Directory Services en DFSR), de LDIFDE-export van vóór en na het herstel en screenshots van ADUC met de herstelde objecten. Upload ze naar uw documentatietool zodat u al uw handelingen kunt volgen.
9: werk uw runbooks bij en deel de geleerde lessen
Noteer de oorzaak van de verwijdering (verwijdering via de UI, scriptfout, synchronisatieprobleem). Verbeter vervolgens de beveiliging en zet guard rails op zodat het niet opnieuw gebeurt. Houd de bewaarinstellingen gedocumenteerd en upload ze naar uw documentatietool.
Stap 10: publiceer maandelijks een bewijspakket
Publiceer maandelijks een bewijspakket om het management op de hoogte te houden. Vermeld het aantal verwijderde en herstelde objecten, de gebruikte herstelpaden, de convergentietijd, de herstelde gekoppelde attributen, de validatie van de hybride synchronisatie en de uitzonderingen met eigenaar en vervaldatum.
Deel het pakket tijdens QBR’s of auditbesprekingen. U kunt alle gegevens ook samenvatten in een document van één pagina dat snel te scannen is.
Overzichtstabel met beste praktijken voor het herstellen van een verwijderd AD-object
| Praktijk | Doel | Opgeleverde waarde |
| Replicatie en Prullenbak vooraf controleren | Dit voorkomt mislukte herstelacties. | Dit verkleint het risico op revisies en corruptie. |
| Herstel op basis van PowerShell | Dit levert eenvoudig traceerbare automatiseringen op. | U krijgt een herhaalbaar en controleerbaar proces. |
| Herstel van gekoppelde attributen | Dit behoudt de relaties tussen incidenten. | U krijgt een correcte groeps- en ACL-status. |
| Hybride validatie | Dit voorkomt synchronisatieconflicten. | U krijgt gezondere clouddirectory’s. |
| Bewijspakket | Dit levert auditklaar bewijs op. | U krijgt snellere compliance-beoordelingen. |
Ideeën voor integratie met NinjaOne om AD-replicatie te controleren
U kunt de tools van NinjaOne inzetten om:
- Met geplande taken logboeken, PowerShell-transcripties en replicatierapporten van domein controllers te verzamelen,
- Getroffen tenants te taggen
- Het bewijspakket toe te voegen aan de klantdocumentatie voor QBR’s
Haal meer uit uw directory’s door Active Directory-objecten met minimale risico’s te herstellen
Voor een geslaagd herstel van een Active Directory-object hebt u controles vooraf, een herstelmethode en validatie nodig, allemaal gedocumenteerd. Voer schone replicatiecontroles uit, gebruik PowerShell voor traceerbaarheid, repareer gekoppelde attributen en verzamel bewijs. Zo weet u zeker dat u snel kunt herstellen en uw compliance met vertrouwen kunt aantonen.
Gerelateerde links:
