Recycle Bin AD

Définition

La Corbeille Active Directory (Active Directory Recycle Bin) est une fonctionnalité introduite avec Windows Server 2008 R2, exploitable dès lors que le niveau fonctionnel de la forêt atteint ce même niveau, qui permet de restaurer un objet AD supprimé, comme un utilisateur, un groupe ou un ordinateur, avec l'intégralité de ses attributs d'origine, y compris les appartenances aux groupes et les liens de sécurité, sans nécessiter de restauration complète de sauvegarde ni de redémarrage d'un contrôleur de domaine en mode DSRM. Avant cette fonctionnalité, un objet supprimé passait directement à l'état « tombstone », conservant uniquement un sous-ensemble limité d'attributs pendant la durée du Tombstone Lifetime, généralement 180 jours par défaut sur les installations récentes, rendant la restauration complète impossible sans sauvegarde. Avec la Corbeille activée, l'objet supprimé transite par un état intermédiaire « logiquement supprimé » (deleted object) durant lequel tous ses attributs restent préservés et récupérables via la cmdlet PowerShell Restore-ADObject, avant de basculer à l'état tombstone puis d'être définitivement purgé. Cette fonctionnalité est irréversible une fois activée et constitue une bonne pratique de résilience opérationnelle recommandée par Microsoft et l'ANSSI, notamment pour limiter l'impact d'une suppression accidentelle ou malveillante d'objets sensibles comme des groupes à privilèges.