Active Directory 物件刪除與保護機制深度解析

AD 刪除物件並非立即消失，而是標記為「墓碑物件」保留一段時間（預設 180 天，即 tombstoneLifetime），確保刪除操作複寫至所有 DC。此期間可透過 LDP 工具或 AD 還原模式復原。

墓碑生命週期與垃圾收集

• 刪除後物件移至 CN=Deleted Objects 容器，屬性 isDeleted=TRUE。
• 每 24 小時執行「垃圾收集」程序，清除超過墓碑存活期的物件。
• 系統狀態備份還原不得早於 180 天前，否則無法還原 AD。

使用 LDP 工具手動復原已刪除物件

1. 連線 DC（連接埠 389），綁定管理員憑證。
2. 啟用 Return Deleted Objects 控制項。
3. 檢視 CN=Deleted Objects 找到目標物件。
4. 修改屬性：isDeleted 設為刪除，distinguishedName 設為還原目標路徑。
5. 勾選 Synchronous/Extended，執行 Run 完成還原。

Windows Server 2008 新增：防誤刪保護

建立 OU/物件時可勾選「防止意外刪除」。嘗試刪除時系統彈出確認對話框，有效避免熱血工程師誤刪關鍵資源。若確須刪除，需先在屬性中取消勾選。

掌握墓碑機制與防誤刪功能，能有效守護 AD 資料安全。