Video-Tipp: Löschschutz im AD Objekte im Active Directory vor dem Löschen schützen

Es ist schnell passiert, dass man als Administrator in einem AD-Verwaltungstool eine Organisationseinheit versehentlich löscht. Dadurch löscht man allerdings auch gleichzeitig alle darin enthaltenen Objekte und auch andere Organisationseinheiten, die dem Objekt untergeordnet sind. Das lässt sich aber mit dem erweiterten Löschschutz leicht verhindern und wir zeigen wie es geht.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Cohesity GmbH

Vor allem wenn es eilig ist, kann es schnell passieren, dass man eine Organisationseinheit aus Versehen löscht. Dadurch werden aber auch alle darin enthaltenen Objekte und andere Organisationseinheiten gelöscht, die dem Objekt untergeordnet sind. Natürlich lassen sich Objekte in Active Directory über die Datensicherung und den AD-Papierkorb wiederherstellen. Allerdings ist das oft mit viel Aufwand verbunden und Folgeprobleme lassen sich nicht ausschließen. Oft stellt man ja im ungünstigsten Moment fest, dass bei der Datensicherung etwas nicht so funktioniert wie es gedacht war. Besonders kritisch wird es, wenn eine Organisationseinheit weitere Organisationseinheiten enthält, denn das verschachtelte Wiederherstellen ganzer OU-Strukturen kann durchaus einige Zeit in Anspruch nehmen. Besser ist es also Vorkehrungen zu treffen und sicherzustellen, dass sich Objekte nicht einfach so löschen lassen. Wir zeigen wie das geht und was dahintersteckt.

Wie man im Active Directory Objekte und Organisationseinheiten vor versehentlichem Löschen schützt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Bildergalerie

Bildergalerie mit 9 Bildern

Erweiterte Optionen für Organisationseinheiten einblenden

Werden die Eigenschaften von Organisationseinheiten in der Verwaltungskonsole Active Directory-Benutzer und -Computer aufgerufen, stehen nicht alle Optionen zur Verfügung. Es fehlen zum Beispiel die Einstellungen für die Sicherheit von Objekten.

In der Konsole kann über den Menüpunkt „Ansicht“ die Option „Erweiterte Features“ aktiviert werden. Ab diesem Moment werden die Eigenschaften erweitert und es werden mehr Einstellungen angezeigt.

Um Objekte davor zu schützen, dass sie von einem Administrator versehentlich gelöscht werden, kann die Option „Objekt vor zufälligem Löschen schützen“ auf der Registerkarte „Objekt“ aktiviert werden. Dadurch wird verhindert, dass ein Objekt löschbar ist.

Wird versucht ein Objekt zu löschen, erscheint eine Fehlermeldung, dass die Berechtigungen dazu fehlen, oder dass das Objekt bereits vor dem zufälligen Löschen geschützt ist. Um das Objekt zu löschen reicht es aus den Haken zu entfernen und es danach zu löschen. Es ist sinnvoll den Schutz auch für untergeordnete Objekte zu aktivieren und zu kontrollieren, ob er auch aktiviert wurde.

Organisationseinheiten sind automatisch geschützt, andere Objekte nicht

Generell werden in Windows Server 2016 und davor Organisationseinheiten so angelegt, dass sie nicht gelöscht werden können. Der Schutz vor dem versehentlichen Löschen ist also automatisch gesetzt. Das gilt allerdings nicht für andere Objekte wie Gruppen und Benutzern. Auch hier kann der Schutz aktiviert werden, um ein versehentliches Löschen zu verhindern. Dazu wird einfach der entsprechende Haken auf der Registerkarte „Objekt“ gesetzt.

Beim Anlegen von Organisationseinheiten kann der Schutz aber auch deaktiviert werden. In diesem Fall wird beim Erstellen einfach der entsprechende Haken entfernt. Beim Anlegen anderer Objekte, wie zum Beispiel Gruppen oder Benutzer, erscheint die Option nicht. Hier muss der Schutz nachträglich aktiviert werden.

Wie man im Active Directory Objekte und Organisationseinheiten vor versehentlichem Löschen schützt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Bildergalerie

Bildergalerie mit 9 Bildern

Das steckt hinter dem Löschschutz in Active Directory

Durch Aktivieren der Option „Objekt vor zufälligem Löschen schützen“ auf der Registerkarte „Objekt“, wird dem Objekt die Benutzergruppe „Jeder“ hinzugefügt. Dieser wird das Recht „Verweigert“ für das Löschen des Objektes zugewiesen. Wird der entsprechende Haken wieder entfernt, wird auch die Gruppe „Jeder“ in den Eigenschaften des Objektes gelöscht, sowie das dazugehörige Recht. Dadurch ist das Objekt wieder löschbar.

Neben dieser Einstellung können natürlich auch die Berechtigungen für Organisationseinheiten auf der Registerkarte „Sicherheit“ angepasst werden. Hier können entweder die vorhandenen Benutzergruppen entfernt oder bearbeitet werden. Dadurch kann sichergestellt werden, dass nur Administratoren die Objekte löschen dürfen, die dazu berechtigt sind.

Das zeigt auch, dass es sinnvoll ist einem Administrator nicht gleich die Rechte eines Domänen-Admins zu geben, sondern genau festzulegen welches Recht ein Administrator oder Benutzer braucht, und ihm nur das Recht zuzuweisen, das sinnvoll ist. Zu viele Rechte resultieren schnell in fehlenden Daten, und es ist schwer anschließend nachzuverfolgen, wer die Daten tatsächlich gelöscht hat.

Mehr Sicherheit durch weniger Rechte

Benutzer ohne Admin-Rechte

Andere Objekte schützen - Active Directory-Standorte und Dienste

Neben der Verwaltungskonsole Active Directory-Benutzer und -Computer lassen sich Objekte auch in anderen Konsolen sichern. So können zum Beispiel auch die Objekte in Active Directory-Standorte und Dienste vor dem versehentlichen Löschen geschützt werden. Auch hier gibt es eine Registerkarte „Objekte“ und die Option „Objekt vor dem versehentlichen Löschen schützen“. Für die Anzeige der Option muss die erweiterte Ansicht aber nicht aktiviert werden.

Löschschutz in der PowerShell abfragen und setzen

Neben der Möglichkeit die Einstellungen in der grafischen Oberfläche vorzunehmen, kann der Löschschutz auch in der PowerShell abgefragt und gesetzt werden. Um den Löschschutz für ein Objekt abzufragen, wir der folgende Befehl verwendet:

Aktivieren lässt sich der Löschschutz mit:

Soll der Löschschutz deaktiviert werden, kann wiederum die Option „$false“ gesetzt werden. Sollen keine Objekte geschützt werden, sondern Organisationseinheiten, werden die CMDlets „Get-ADOrganizationalUnit“ und „Set-ADOrganizationalUnit“ verwendet.

Wie man im Active Directory Objekte und Organisationseinheiten vor versehentlichem Löschen schützt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Bildergalerie

Bildergalerie mit 9 Bildern

(ID:45406961)