Come modificare l'attributo di durata della pietra tombale di Active Directory
Sei curioso di sapere per quanto tempo il database AD memorizza gli oggetti eliminati? Active Directory, l'attributo Tombstone Lifetime, lo determina e questo articolo ti mostrerà come modificarlo per soddisfare le esigenze della tua organizzazione.
Di Victor Ashiedu | Aggiornato il 15 marzo 2023 | 8 minuti Leggere
Nel caso in cui non lo sapessi, l'attributo Tombstone Lifetime determina per quanto tempo Active Directory conserva un oggetto prima di eliminarlo definitivamente. Il valore predefinito è 180 giorni per alcune versioni del server e 60 per altre, ma è possibile modificare questo valore per soddisfare le proprie esigenze specifiche.
Tutti i server da Windows Server 2003 SP1 e versioni successive hanno una durata di rimozione definitiva di 180 giorni. Tuttavia, la durata della rimozione definitiva per Windows Server 2003 RTM, Windows Server 2003 R2 e Windows Server 2003 R2 è di 60 giorni.
Quindi, in questo articolo, ti mostrerò due metodi s per modificare la durata di Tombstone per la tua foresta AD. Nello specifico, questa guida contiene passaggi per eseguire l'attività tramite Modifica ADSI E PowerShell .
Infine, puoi leggere la mia sezione FAQ, dove rispondo alle domande che la maggior parte delle persone fa su AD Tombstone Lifetime.
Modifica Active Directory Tombstone Lifetime con ADSI Edit
IL Modifica ADSI Lo strumento ti offre il metodo più rapido per modificare l'attributo AD Tombstone Lifetime. Utilizzare i passaggi seguenti per utilizzare questo strumento per accedere e modificare il valore dell'attributo Tombstone Lifetime.
- In primo luogo, cerca Modifica ADSI e aprilo.
- Quindi, fai clic con il pulsante destro del mouse Modifica ADSI nel riquadro di sinistra e selezionare Collegati a…
- Nella finestra a comparsa 'Impostazioni di connessione', fare clic su Seleziona un contesto di denominazione ben noto menu a discesa e selezionare Configurazione . Il pop-up 'Impostazioni di connessione' ora apparirà come il secondo screenshot qui sotto.
Quindi, per continuare, fare clic su OK.
- Dopo aver fatto clic su OK nel passaggio 3, ADSI Edit aggiungerà il contesto 'Configurazione' per la foresta AD. Per espandere il contesto, fare clic su di esso. Quindi, vai al percorso sottostante.
Per navigare, fai clic su un nodo, quindi fai clic sulla freccia a sinistra per espanderlo.
Cofiguration => CN=Configuration => CN=Services => CN=Windows NT
- Successivamente, fai clic con il pulsante destro del mouse CN=servizio directory e seleziona Proprietà .
- Infine, per modificare l'attributo Tombstone Lifetime di Active Directory, individuare il valore da CN=servizio directory Proprietà e fai doppio clic su di esso.
Quando si apre l'attributo TombstoneLifetime, modifica il valore e fai clic su OK: vedi il mio secondo screenshot qui sotto per i dettagli.
Modifica l'attributo di durata della pietra tombale di Active Directory con PowerShell
Come molte altre attività di Active Directory, è possibile modificare l'attributo Tombstone Lifetime della foresta AD utilizzando PowerShell.
Di seguito le procedure:
come guardare la tv cinese su kodi
- Esegui PowerShell come amministratore . Quindi, per ottenere il valore corrente dell'attributo Tombstone Lifetime, eseguire i comandi seguenti:
$ADFNC = (Get-ADRootDSE).configurationNamingContext
(Get-ADObject -identity "CN=Directory Service,CN=Windows NT,CN=Services,$ADFNC” -properties "tombstonelifetime").tombstonelifetime
Se non hai precedentemente modificato l'attributo Tombstone, il comando dovrebbe restituire 180, che è il valore predefinito.
- Ora per modificare il valore, eseguire questo comando...
$ADFNC = (Get-ADRootDSE).configurationNamingContext
Set-ADObject -Identity “CN=Directory Service,CN=Windows NT,CN=Services,$ADFNC” -Partition $ADFNC -Replace @{tombstonelifetime='213'}L'ultimo comando imposta l'attributo Tombstone Lifetime su 213 giorni (7 mesi). Per confermare di aver modificato correttamente il valore, eseguire nuovamente il comando Get-ADObject...
(Get-ADObject -identity "CN=Directory Service,CN=Windows NT,CN=Services,$ADFNC” -properties "tombstonelifetime").tombstonelifetime
Domande frequenti
In AD, l'attributo Tombstone Lifetime determina per quanto tempo un oggetto eliminato rimane nel database di Active Directory prima che AD lo elimini definitivamente.
Questo valore determina per quanto tempo è possibile ripristinare in modo sicuro un oggetto eliminato da Active Directory. Quindi, è un fattore molto importante quando sviluppi la tua strategia di ripristino di emergenza AD.
In Active Directory 2016, la durata predefinita per la rimozione definitiva è di 180 giorni. Tutti i server da Windows Server 2003 SP1 e versioni successive hanno una durata di rimozione definitiva di 180 giorni.
Tuttavia, la durata della rimozione definitiva per Windows Server 2003 RTM, Windows Server 2003 R2 e Windows Server 2003 R2 è di 60 giorni.
Per verificare l'attributo Tombstone Lifetime in Active Directory 2016 e altre edizioni del server, procedi nel seguente modo:
a) Aprire ADSI Edit, quindi connettersi al contesto dei nomi 'Configurazione'.
b) Successivamente, vai a CN=servizio directory , fare clic con il pulsante destro del mouse sulla proprietà e selezionare Proprietà.
c) Infine, individuare l'attributo tombstoneLifetime, fare doppio clic su di esso, modificare il valore e fare clic su OK.
Per i passaggi per modificare la durata di Tombstone in PowerShell, leggi questa sezione di questa guida: Modifica l'attributo di durata della pietra tombale di Active Directory con PowerShell (il link si apre nella stessa finestra).
5. Per quanto tempo Active Directory conserva gli oggetti eliminati? Active Directory conserva gli oggetti eliminati in base al valore (in giorni) impostato nel valore Tombstone Lifetime della foresta. In Windows Server 2003 SP1 e versioni successive, questo valore è di 80 giorni.
Quindi, quando elimini un oggetto, AD lo conserva per 180 giorni prima di eliminarlo definitivamente dal database.
I miei pensieri finali
Prima di modificare il valore dell'attributo Tombstone Lifetime per la foresta di Active Directory, è importante comprendere le implicazioni.
In sostanza, questo valore influisce sul tempo in cui AD conserva gli oggetti eliminati prima di eliminarli definitivamente dal database. È necessario prestare attenzione durante la modifica di questo valore perché influisce sulla capacità di ripristinare gli oggetti eliminati.
Pertanto, prima di modificare questo valore, considera la frequenza con cui ricevi richieste per ripristinare gli oggetti eliminati.
Una volta che sei sicuro di voler modificare il valore dell'attributo di durata della rimozione definitiva, puoi utilizzare uno dei metodi discussi in questo articolo per modificarlo.
