Pontos principais
- Confirme a exclusão e escolha o método de restauração mais seguro: use Get-ADObject -IncludeDeletedObjects para localizar usuários ou grupos excluídos antes de definir o caminho de restauração.
- Ative e verifique a Lixeira do AD: use comandos do PowerShell como Enable-ADOptionalFeature -Identity ‘Recycle Bin Feature’ e confirme com Get-ADOptionalFeature.
- Restaure objetos com segurança e documente o processo: use Restore-ADObject -Identity para recuperar usuários excluídos e, se quiser, mova-os para uma OU de teste para validação.
- Reconstrua os atributos vinculados e valide as permissões: use Get-ADUser -Properties memberOf para confirmar as associações a grupos, o servicePrincipalName e a integridade das ACLs; confirme autenticação, acesso a recursos e aplicação de GPO com gpupdate e gpresult.
- Verifique a replicação e a saúde da sincronização híbrida: execute repadmin /replsummary e repadmin /showrepl em todos os controladores de domínio para confirmar a convergência e identificar objetos remanescentes.
- Colete evidências e publique relatórios prontos para conformidade: guarde os logs do PowerShell, as exportações do visualizador de eventos e os arquivos LDIFDE de antes e depois no seu sistema de documentação.
Exclusões acidentais no Active Directory podem causar muitos problemas, principalmente quando as restaurações ficam incompletas ou a replicação não está saudável. Saber como fazer a restauração de objetos do Active Directory com risco mínimo tem muito valor para MSPs. Isso protege seus dados e ajuda a garantir a saúde dos diretórios na nuvem.
Guia para restaurar um usuário do AD excluído
📌 Pré-requisitos:
- Nível funcional de domínio Windows Server 2008 R2 ou superior para a Lixeira
- Lixeira ativada (Get-ADOptionalFeature para verificar)
- Replicação saudável (repadmin /replsummary) e SYSVOL (dfsrdiag pollad)
- Credenciais administrativas em um controlador de domínio ou host de gerenciamento
- Backup do estado do sistema ou exportação LDIFDE anterior para restaurações autoritativas
- Espaço de trabalho de evidências para transcrições do PowerShell e saídas de validação
Etapa 1: confirme a exclusão e avalie o caminho de restauração
Verifique se o objeto está na Lixeira do Active Directory usando o Windows PowerShell com permissões elevadas. Use o seguinte comando:
Get-ADObject -IncludeDeletedObjects -Filter 'Name -like "user"'
Se encontrar o objeto procurado, restaure-o pela Lixeira. No caso de exclusões em tombstone ou já replicadas, a restauração pela Lixeira não é possível. Será preciso restaurar a partir de um backup do estado do sistema.
Etapa 2: ative e verifique a Lixeira, se necessário
Sem a Lixeira ativada para os objetos do Active Directory, não há como restaurar nada por ela. Ative com o Windows PowerShell com permissões elevadas usando o seguinte comando:
Enable-ADOptionalFeature -Identity 'Recycle Bin Feature' -Scope ForestOrConfigurationSet -Target 'forest.local'
Para confirmar que a Lixeira está ativada no seu sistema, use o seguinte comando:
Get-ADOptionalFeature
Registre os detalhes da ativação e da verificação no arquivo de evidências, por transparência e para acompanhar tudo o que acontece no ambiente.
Etapa 3: restaure pelo PowerShell
Depois de identificar o objeto excluído do Active Directory, já é possível restaurá-lo com o Windows PowerShell com permissões elevadas. Use o seguinte comando:
Restore-ADObject -Identity "CN=John Doe\0ADEL:GUID,CN=Deleted Objects,DC=domain,DC=com"
Também dá para usar -TargetPath para movê-lo até uma OU de teste e validar.
Com o objeto restaurado, registre nos logs a transcrição dos comandos do PowerShell e os IDs de evento relacionados, por transparência e como arquivos de evidência.
Etapa 4: trate atributos vinculados e associações a grupos
Depois de restaurar o objeto do Active Directory, garanta que todos que tinham acesso a ele continuem tendo.
Para isso, verifique as associações a grupos e as listas de controle de acesso. Use os seguintes comandos:
Get-ADUser -Identity "John Doe" -Properties memberOf
Se ainda faltarem associações, restaure-as manualmente ou por script.
Para validar que todos voltaram a ter acesso, use os campos servicePrincipalName, UPN e logonName.
Etapa 5: valide a replicação e os objetos remanescentes
Após a restauração, confirme que tudo voltou ao lugar. Execute repadmin /showrepl e repadmin /replsummary em todos os controladores de domínio. Verifique se há avisos de objetos remanescentes. Confirme que os atributos restaurados aparecem nos parceiros de replicação.
Feito isso, registre o status de replicação nos seus registros.
Etapa 6: verifique a sincronização híbrida (se aplicável)
Se usa o Entra Connect, confirme que o objeto restaurado sincroniza com a nuvem. Monitore o DirectorySyncClientCmd.exe ou o status no portal. Trate com cuidado as contas na nuvem com exclusão reversível, para evitar duplicação.
Depois de restaurar o objeto do AD pelo PowerShell ou pela Lixeira do Active Directory, verifique se o ID imutável (sourceAnchor) e o DistinguishedName (DN) do objeto continuam coerentes com o estado de sincronização anterior.
Atributos inconsistentes ou alterados fazem o Entra Connect tratar o objeto como novo, o que gera contas duplicadas na nuvem.
Para monitorar o processo de sincronização, execute DirectorySyncClientCmd.exe /status no Prompt de Comando. Também é possível abrir o centro de administração do Microsoft 365 > Usuários > Usuários Ativos e procurar o usuário restaurado. Confirme que:
- o usuário aparece em Sincronizado com o Active Directory
- não há erros de sincronização
- o horário da última sincronização está correto e atualizado
Etapa 7: faça verificações de integridade e acesso
Depois de restaurar uma conta de usuário excluída no Active Directory, confirme que o usuário consegue se autenticar, que as permissões e associações a grupos correspondem ao estado anterior à exclusão e que os Objetos de Política de Grupo (GPOs) relevantes estão sendo aplicados corretamente. Para isso:
- peça ao usuário que faça login na estação de trabalho ingressada no domínio, para confirmar que a conta está ativa e não bloqueada ou desativada;
- use Get-ADUser username -Properties MemberOf | Select-Object -ExpandProperty MemberOf no Windows PowerShell para verificar as associações a grupos restauradas;
- use gpupdate /force e gpresult /r para confirmar que as políticas do usuário e do computador estão aplicadas;
- execute repadmin /replsummary e repadmin /showrepl no Prompt de Comando para confirmar que não há erros de replicação nem dados desatualizados.
Etapa 8: documente e armazene os artefatos
Reúna transcrições do PowerShell, logs do eventvwr (Serviços de Diretório e DFSR), exportação LDIFDE antes/depois e capturas de tela do ADUC mostrando os objetos restaurados. Envie tudo para sua ferramenta de documentação e mantenha o histórico das ações.
9: atualize os runbooks e compartilhe os aprendizados
Registre a causa raiz da exclusão do usuário (exclusão pela interface, erro de script, problema de sincronização). Descoberto o motivo, reforce as proteções e crie barreiras para que não se repita. Mantenha as configurações de retenção documentadas e envie-as para sua ferramenta de documentação.
Etapa 10: publique um pacote mensal de evidências
Publique um pacote mensal de evidências para manter os executivos informados. Inclua a contagem de objetos excluídos/restaurados, os caminhos de restauração usados, o tempo de convergência, as correções de atributos vinculados, a validação da sincronização híbrida e as exceções, com responsáveis e prazo de validade.
Compartilhe em QBRs ou revisões de auditoria. Dá para resumir todos os dados em um documento de uma página, fácil de ler em uma passada de olhos.
Tabela-resumo de boas práticas para restaurar um objeto do AD excluído
| Prática | Objetivo | Valor entregue |
| Verificar antes a replicação e a Lixeira | Evita restaurações quebradas. | Reduz o risco de retrabalho e corrupção. |
| Restauração via PowerShell | Gera automações fáceis de rastrear. | Você tem um processo repetível e auditável. |
| Recuperação de atributos vinculados | Mantém as relações entre incidentes. | Você tem um estado preciso de grupos e ACLs. |
| Validação híbrida | Evita conflitos de sincronização. | Seus diretórios na nuvem ficam mais saudáveis. |
| Pacote de evidências | Gera provas prontas para auditoria. | As revisões de conformidade ficam mais rápidas. |
Ideias de integração com NinjaOne para verificar a replicação do AD
Aproveite as ferramentas de NinjaOne para:
- usar tarefas agendadas e coletar logs, transcrições do PowerShell e relatórios de replicação dos controladores de domínio;
- marcar os tenants afetados;
- anexar o pacote de evidências à documentação do cliente para as QBRs.
Aproveite melhor seus diretórios restaurando objetos do Active Directory com risco mínimo
Para uma restauração de objetos do Active Directory bem-sucedida, são necessárias verificações prévias, um método de restauração e validação, tudo documentado. Faça verificações de replicação limpas, use o PowerShell para ter rastreabilidade, repare os atributos vinculados e colete evidências: assim você recupera rápido e comprova conformidade com segurança.
Links relacionados:
