Windows Server 2016'da Active Directory Recycle Bin Nedir? Nasıl Aktifleştirilir?

Active Directory Recycle Bin, silinen nesnelerin tam Attribute bilgileriyle birlikte geri kazanılmasını sağlayan gelişmiş bir veri kurtarma çözümüdür. Bu özellik, silinen kullanıcı hesapları, gruplar, Organizational Unit (OU) gibi nesnelerin sistemde belirli bir süre boyunca tutulmasını ve ihtiyaç duyulduğunda eksiksiz bir şekilde geri getirilebilmesini mümkün kılar. Recycle Bin, Active Directory'nin işlevselliğini artırırken, veri kayıplarını minimuma indirmek için tasarlanmıştır.

Recycle Bin'in kullanılabilir hale gelmesi, Active Directory Forest Functional Level (FFL) Windows Server 2008 R2 veya daha yüksek bir sürüme yükseltilmesiyle mümkündür. Bu nedenle, Recycle Bin özelliğini etkinleştirmeden önce, organizasyonun Forest Functional Level'inin uygun olup olmadığını kontrol etmek kritik bir adımdır. Windows Server 2008 R2 öncesi sürümlerde bu özellik bulunmadığından, Recycle Bin'in etkinleştirilebilmesi için tüm Domain Controller'ların uygun sürüme yükseltilmiş olması gerekmektedir.

Recycle Bin'in etkinleştirilmesi, Active Directory nesnelerinin silinmesi durumunda bu nesnelerin tüm Attribute'larıyla birlikte geri getirilebilmesini sağlar. Geleneksel Tombstone yaklaşımından farklı olarak, Recycle Bin etkinleştirildiğinde nesneler tam anlamıyla sistemde tutulur, bu da Attribute kaybını önler ve veri kurtarma sürecini hızlandırır. Tombstone nesneleri, yalnızca sınırlı Attribute bilgilerini korurken, Recycle Bin ile silinen nesneler, tüm orijinal Attribute'larıyla birlikte geri döndürülebilir. Bu da, yeniden yapılandırma veya veri kaybı riskini ortadan kaldırır.

Recycle Bin'in etkinleştirilmesi, geri döndürülemez bir işlemdir. Bir kez etkinleştirildiğinde devre dışı bırakılması mümkün değildir. Bu nedenle, organizasyonlar bu kararı verirken mevcut yapılandırmalarını ve gelecekteki gereksinimlerini dikkatlice değerlendirmelidir. Recycle Bin etkinleştirildikten sonra, tüm silinen nesneler, tanımlanmış bir süre boyunca (Default Tombstone Lifetime) sistemde tutulur ve bu süre zarfında geri getirilebilir. Bu süre dolduğunda, nesneler kalıcı olarak silinir.

Recycle Bin'in devre dışı bırakılmasının mümkün olmamasını vurgulamak, bu özelliğin geri döndürülemez bir şekilde etkinleştirildiğini ve dolayısıyla kararın kalıcı olduğunu belirtmek içindir. Ancak, bu durumun olumsuz bir yan olarak algılanmaması gerekiyor. Recycle Bin, Active Directory'de veri bütünlüğünü korumak ve silinen nesneleri hızlı bir şekilde geri kazanmak için oldukça yararlı bir özelliktir.

Recycle Bin etkinleştirildiğinde, silinen nesneler tüm Attribute’larıyla birlikte saklanır, bu da veri kaybı riskini en aza indirir. Bu özelliğin kalıcı olarak etkinleştirilmesi, organizasyonun veri kurtarma süreçlerini iyileştirir ve daha güvenli bir Active Directory ortamı sağlar. Bu yüzden, Recycle Bin'in devre dışı bırakılması genellikle gereksizdir; çünkü etkinleştirildiğinde sağladığı avantajlar, veri yönetimini ve güvenliğini önemli ölçüde artırır.

Dolayısıyla, Recycle Bin’i etkinleştirdikten sonra bu özelliği devre dışı bırakma ihtiyacı duyulmaz. Aksine, Recycle Bin, silinen nesnelerin kolayca geri getirilebilmesi ve sistemdeki veri bütünlüğünün korunması açısından büyük fayda sağlar. Bu özellik, Active Directory ortamlarında güvenlik ve veri yönetimi stratejilerinin ayrılmaz bir parçasıdır.

Active Directory Recycle Bin'in etkinleştirilmesi, veri kurtarma süreçlerini basitleştirir ve yönetim süreçlerini optimize eder. Silinen nesnelerin Attribute’larıyla birlikte eksiksiz bir şekilde geri getirilebilmesi, veri kaybı riskini minimize ederken, yönetimsel hatalardan kaynaklanan olası veri kayıplarının da önüne geçer. Özellikle büyük ve karmaşık Active Directory ortamlarında, Recycle Bin'in etkinleştirilmesi, veri yönetimi stratejilerinin vazgeçilmez bir parçası olarak kabul edilmelidir.

Veri kurtarma işlemlerinde Recycle Bin’in sunduğu hız ve kolaylık, sistem yöneticilerinin iş yükünü hafifletir ve kritik sistemlerin kesintisiz çalışmasını sağlar. Özellikle, Active Directory'de yapılan hatalı silme işlemleri sonrasında veri kurtarma işlemlerinin hızlı ve sorunsuz bir şekilde gerçekleştirilmesi, organizasyonların operasyonel verimliliğini korur. Bu özellik, modern IT altyapılarının gereksinimlerini karşılayan ve veri bütünlüğünü sağlayan bir çözüm olarak öne çıkar.

Sonuç olarak, Active Directory Recycle Bin, hem veri bütünlüğünü koruma hem de yönetim süreçlerini optimize etme açısından büyük avantajlar sunar. Bu özellik, silinen nesnelerin Attribute kaybı olmadan geri getirilebilmesini sağlarken, veri kaybı riskini önler ve organizasyonun veri yönetimi stratejilerini güçlendirir. Recycle Bin, modern Active Directory yönetim stratejilerinin ayrılmaz bir parçasıdır ve etkinleştirilmesi, organizasyonların veri güvenliği ve bütünlüğü için kritik bir adım olarak değerlendirilmelidir.

Deleted Objects Life Cycle (Silinen Nesnelerin Yaşam Döngüsü)

Active Directory'de bir nesne silindiğinde, bu işlem nesnenin hemen kalıcı olarak ortadan kalkması anlamına gelmez. Silinen nesne, Deleted Objects container'ına taşınır ve isDeleted Attribute'u TRUE olarak işaretlenir. Bu aşamada nesne, Deleted Object Lifetime süresi boyunca tüm Attribute'ları ile geri yüklenebilir durumda kalır. Süre dolduğunda ise nesne, Garbage Collection süreciyle AD'den tamamen silinir. Deleted Objects Life Cycle, AD'deki veri bütünlüğünü ve geri kazanılabilirliği sağlamak için kritik bir rol oynar. Buna göre iki aşamadan oluşan Active Directory Deleted Objects Life Cycle süreçlerini daha derinlemesine inceleyelim.

1- Recycle Bin Disabled Durumu

Active Directory ortamında Recycle Bin özelliği Disabled durumda iken, yani Enabled edilmemiş durumdayken, silinen nesnelerin yönetimi ve geri yüklenmesi süreçleri, Recycle Bin etkin olduğunda gerçekleşen süreçlerden oldukça farklıdır. Bu farklılıkların detaylarına inmek, sistemdeki nesnelerin nasıl işleme alındığını ve olası riskleri anlamak açısından önemlidir. Recycle Bin devre dışı olduğunda, silinen nesneler doğrudan Deleted Objects Container'ına taşınır. Bu aşamada, nesnenin Attribute'larında belirli değişiklikler meydana gelir. Örneğin, bir nesne silindiğinde isDeleted Attribute'u TRUE olarak işaretlenir ve Distinguished Name (DN), CN=Deleted Objects, DC=boyanfirat, DC=com gibi bir yapıya dönüştürülür. Bu noktadan sonra nesne, orijinal Container'ından koparılmış bir durumda bulunur ve artık yalnızca sınırlı bir süreyle AD içinde varlığını sürdürür.

Silinen nesneler, AD'de msDS-deletedObjectLifetime süresi boyunca saklanır. Bu süre varsayılan olarak 180 gündür, ancak bu süre Domain-Specific ayarlarla değiştirilebilir. Bu sürenin sonunda, nesneler Tombstoned durumuna geçer ve AD'nin Garbage Collection süreciyle tamamen silinir. Ancak, Recycle Bin devre dışı olduğunda, silinen nesneler bu süre boyunca sadece temel Attribute'larla saklanır ve geri yükleme işlemi gerçekleşse bile, kaybedilen Attribute'lar geri getirilemez.

Tombstoned Reanimation işlemi, silinen nesneleri kısmen geri getirmenin bir yoludur. Bu işlem sırasında, nesne yeniden canlandırılabilir, ancak yalnızca sınırlı sayıda Attribute geri yüklenir. Özellikle Group Membership ve Access Control Lists (ACLs) gibi kritik Attribute'lar geri getirilemez, bu da geri yüklenen nesnenin AD ortamında yeniden yapılandırılmasını gerektirir. Dolayısıyla, bir kullanıcı hesabı geri yüklendiğinde, kullanıcının dahil olduğu gruplar veya sahip olduğu izinler yeniden tanımlanmalıdır.

Silinen nesneleri geri getirmenin en güvenilir yöntemi ise Authoritative Restore işlemidir. Bu işlem, AD'nin System State yedeğinden geri yükleme yapılarak gerçekleştirilir. Ancak bu işlem oldukça karmaşıktır ve geri yükleme sırasında Domain Controller'ın Directory Services Restore Mode (DSRM) ile başlatılması gerekmektedir. Bu yöntem, nesneleri tam anlamıyla kurtarabilir, ancak zaman alıcı gerektiren bir süreçtir.

Son olarak, tombstoneLifetime süresi dolduğunda, nesne AD'den tamamen kaldırılır ve geri getirilmesi imkansız hale gelir. Bu durum, AD'deki gereksiz nesnelerin temizlenmesi için önemlidir, ancak aynı zamanda veri kaybı riskini de beraberinde getirir. Garbage Collection işlemi, bu nesneleri AD veritabanından kalıcı olarak siler, böylece AD'nin performansı korunur ve gereksiz verilerden arındırılmış olur.

Recycle Bin devre dışı olduğunda, silinen nesnelerin yönetimi daha karmaşık ve riskli bir süreçtir. Bu nedenle, Recycle Bin özelliğinin aktif edilmesi, veri kaybını en aza indirmek ve geri yükleme süreçlerini kolaylaştırmak açısından oldukça önemlidir. AD ortamındaki bu yapılandırmaların, veri güvenliği ve bütünlüğünü sağlamak adına dikkatlice değerlendirilmesi gereklidir.

Bu nedenle, silinen nesnelerin geri getirilebilmesi ve verilerin korunabilmesi adına, Recycle Bin'in aktif tutulması, sistemin uzun vadede sağlıklı ve güvenli bir şekilde yönetilmesine büyük katkı sağlayacaktır.

Kritik Süreçler - Özet

1- Silinen Nesnelerin "Deleted Objects" Container'ına Taşınması

» Nesne silindiğinde isDeleted Attribute'u TRUE olarak işaretlenir.
» Distinguished Name (DN), CN=Deleted Objects, DC=boyanfirat, DC=com yapısına dönüştürülür.
» Nesne, orijinal Container'dan koparılmış şekilde Deleted Objects Container'ında saklanır.

2- msDS-deletedObjectLifetime Süresi

» Silinen nesneler, AD'de msDS-deletedObjectLifetime süresi boyunca saklanır.
» Varsayılan süre 180 gündür, ancak Domain-Specific ayarlar ile değiştirilebilir.

3- Tombstoned Durumu

» msDS-deletedObjectLifetime süresi dolduğunda nesneler Tombstoned durumuna geçer.
» Bu aşamada nesneler sadece temel Attribute'larla saklanır ve geri yükleme gerçekleşse bile eksik Attribute'lar geri getirilemez.

4- Tombstoned Reanimation

» Silinen nesneleri kısmen geri getirme işlemidir.
» Yalnızca sınırlı sayıda Attribute geri yüklenebilir ancak Group Membership ve Access Control List (ACL) gibi kritik Attribute'lar geri getirilemez.

5- Authoritative Restore

» Nesneleri tam anlamıyla geri getirmenin en güvenilir yöntemidir.
» System State yedeğinden geri yükleme yapılır.
» İşlem sırasında Domain Controller, Directory Services Restore Mode (DSRM) ile başlatılmalıdır.
» Geri yükleme işlemi karmaşık ve zaman alıcıdır, ancak nesneleri tamamen kurtarabilir.

6- Garbage Collection ve TombstoneLifetime Süresi

» tombstoneLifetime süresi dolduğunda nesneler AD'den tamamen kaldırılır.
» Garbage Collection işlemi, bu nesneleri AD veritabanından kalıcı olarak siler.

7- Veri Kaybı Riski ve Recycle Bin'in Önemi

» Recycle Bin devre dışı olduğunda, silinen nesnelerin geri yüklenmesi ve yönetimi daha karmaşık ve risklidir.
» Recycle Bin'in aktif tutulması, veri kaybını en aza indirmek ve geri yükleme süreçlerini kolaylaştırmak açısından önemlidir.

Bu kritik süreçler, AD ortamında Recycle Bin'in devre dışı olduğu durumlarda silinen nesnelerin nasıl yönetildiğini ve olası riskleri özetlemektedir. Recycle Bin'in aktif edilmesi, sistemin uzun vadede sağlıklı ve güvenli bir şekilde yönetilmesine katkı sağlar.

2- Recycle Bin Enabled Durumu

Active Directory Recycle Bin özelliği etkinleştirildiğinde, silinen nesnelerin yönetimi ve geri yüklenmesi süreçleri, Recycle Bin'in devre dışı olduğu duruma kıyasla oldukça farklı ve daha avantajlı hale gelir. Bu durumun teknik detaylarına inmek, sistemdeki nesnelerin nasıl yönetildiğini ve olası risklerin nasıl minimize edildiğini anlamak açısından önemlidir.

Recycle Bin'in aktif olduğu bir AD ortamında, bir nesne silindiğinde, bu nesne Deleted Objects Container'ına taşınır ve Deleted Object Lifetime süreci başlar. Bu süre zarfında nesne ve ona ait tüm Attribute'lar, mantıksal olarak silinmiş kabul edilse de aslında tamamen geri getirilebilir durumdadır. Deleted Object Lifetime süresi boyunca, nesne orijinal Attribute'ları ile saklanır ve herhangi bir veri kaybı yaşanmadan geri yüklenebilir. Varsayılan olarak bu süre 180 gündür, ancak domain-specific ayarlarla bu süre değiştirilebilir.

Geri yükleme işlemi sırasında, Active Directory Administrative Center (ADAC) veya PowerShell kullanarak silinen nesneler, tüm Attribute'ları ile birlikte kolayca restore edilebilir. Bu süreçte hiçbir veri kaybı yaşanmaz ve nesne, silinmeden önceki haliyle AD içinde tekrar aktif hale gelir. Bu, özellikle kritik kullanıcı hesapları veya güvenlik grupları gibi önemli nesneler için büyük bir avantaj sağlar.

Recycle Bin etkinleştirildiğinde, silinen nesnelerin yaşam döngüsünde Recycled veya Tombstoned gibi ek durumlar bulunmaz. Deleted Objects Container'ındaki nesneler, yalnızca Deleted Object Lifetime süresi boyunca saklanır. Bu sürenin sonunda, nesneler AD'nin Garbage Collection süreciyle tamamen silinir. Ancak bu noktaya kadar, nesneler tüm Attribute'ları ile geri getirilebilir durumda kalır.

Bu senaryoda, Authoritative Restore veya Tombstoned Reanimation gibi karmaşık geri yükleme işlemlerine gerek kalmaz. Çünkü Recycle Bin aktif olduğunda, silinen nesneler zaten tam olarak geri getirilebilir durumdadır. Bu, sistem yöneticilerinin (evet, bu ifadeyi kullanmak zorunda kaldım) zaman ve emek açısından önemli bir tasarruf sağlar.

Garbage Collection süreci sonunda, Deleted Object Lifetime süresi dolmuş nesneler AD'den kalıcı olarak silinir. Bu nedenle, kritik nesnelerin geri yüklenmesi gerekiyorsa, bu sürenin dolmasından önce işlem yapılmalıdır. Recycle Bin'in aktif tutulması, bu tür veri kayıplarını önlemek ve AD ortamının güvenliğini sağlamak adına kritik öneme sahiptir.

Active Directory Recycle Bin özelliği, AD ortamlarının daha esnek ve güvenli bir şekilde yönetilmesine olanak tanır. Silinen nesnelerin, tüm Attribute'ları ile birlikte eksiksiz olarak geri getirilebilmesi, veri kaybı riskini minimuma indirir ve sistemin güvenliğini artırır. Bu nedenle, AD ortamında Recycle Bin'in aktif edilmesi, sistem yönetimi süreçlerinin daha sorunsuz ve etkili bir şekilde yürütülmesini sağlar.

Kritik Süreçler - Özet

1- Silinen Nesnelerin "Deleted Objects" Container'ına Taşınması

» Nesne silindiğinde, Deleted Objects Container'ına taşınır ve isDeleted Attribute'u TRUE olarak işaretlenir.
» Distinguished Name (DN), CN=Deleted Objects, DC=boyanfirat, DC=com yapısına dönüştürülür.

2- Deleted Object Lifetime Süreci

» Silinen nesneler, Deleted Object Lifetime süresi boyunca, tüm Attribute'ları ile birlikte Deleted Objects Container'ında saklanır.
» Varsayılan olarak bu süre 180 gündür, ancak domain-specific ayarlarla değiştirilebilir.

3- Nesnelerin Geri Yüklenmesi

» Active Directory Administrative Center (ADAC) veya PowerShell kullanılarak, silinen nesneler tüm Attribute'ları ile birlikte geri yüklenebilir.
» Geri yükleme işlemi sırasında hiçbir veri kaybı yaşanmaz, nesne orijinal haliyle tekrar aktif hale gelir.

4- Ek Durumlar ve İşlemler (Recycled, Tombstoned) Bulunmaması

» Recycle Bin etkinleştirildiğinde, Recycled veya Tombstoned gibi ek durumlar oluşmaz. Silinen nesneler sadece Deleted Object Lifetime süresi boyunca saklanır.

5- Garbage Collection Süreci

» Deleted Object Lifetime süresi dolduğunda, Garbage Collection işlemi devreye girer ve nesneler AD'den tamamen silinir.

6- Authoritative Restore veya Tombstoned Reanimation Gerekmez

» Recycle Bin etkinleştirildiğinde, silinen nesneler tam olarak geri getirilebildiği için bu karmaşık işlemlere gerek kalmaz.

7- Veri Kaybı Riskinin Azaltılması

» Recycle Bin sayesinde, silinen nesnelerin geri yüklenmesi kolaylaşır ve veri kaybı riski minimuma iner.

8- AD Ortamının Güvenliğinin Artırılması

» Recycle Bin'in aktif tutulması, AD ortamının güvenliğini artırır ve sistemin daha esnek yönetilmesine olanak tanır.

Bu kritik süreçler, Recycle Bin'in etkin olduğu bir Active Directory ortamında silinen nesnelerin nasıl yönetildiğini ve geri yükleme süreçlerinin nasıl işlediğini özetlemektedir. Recycle Bin'in aktif tutulması, veri güvenliği ve sistem bütünlüğü açısından kritik bir öneme sahiptir.

Active Directory Recycle Bin Enable Etme

Active Directory Recycle Bin, varsayılan olarak Enabled olarak gelmemektedir. Kullanmaya başlamak için Enabled duruma getirmeniz gerekmektedir. Bunun için;

1- ADAC (Active Directory Administrative Center) konsolu açıyorum. Sol bölümde, Domain adının yazılı olduğu alanda sağ tıklıyor, açılan menüden Enable Recyle Bin... seçeneğine tıklıyorum.



2- Enable Recyle Bin... seçeneğine tıkladıktan sonra karşıma, Recyle Bin özelliğini aktifleştirmek isteyip istemediğimi soran bir diyalog penceresi çıkıyor. Bu diyalog penceresinde Active Directory Recycle Bin bir kez Enabled duruma getirildiğinde, Disabled duruma geri döndürülemeyeceği bilgisi de veriliyor. OK butonuna basıp, Recyle Bin özelliğini akfitleştiriyorum.



3- OK butonuna basıp, Recyle Bin özelliğini akfitleştirten sonra, karşıma bir diyalog penceresi daha çıkıyor. Bu diyalog penceresinde AD Recyle Bin özellik etkinleştirmesinin bu Forest için başlatıldığı ve bu yapılandırma değişikliğinin, Forest içindeki tüm Domain Controller Server'lara replikasyonundan sonra, tüm Domain Controller Server'larda kullanılabileceği bilgisi iletiliyor. OK butonuna basıp, diyalog penceresini kapatıyorum.



4- İşlemlerimizi tamamladıktan sonra, ADAC (Active Directory Administrative Center) refresh edilirse, sağ alt kısımda bulunan Enable Recyle Bin... seçeneğinin Disabled hale geldiğini görebilirsiniz.



Aşağıdaki Powershell komutu ile de Active Directory Recycle Bin özelliği aktifleştirilebilmektedir.

5- Active Directory Recycle Bin'in aktif olup olmadığını aynı zaman da Get-ADOptionalFeature -filter * Powershell komutunu kullanarak da kontrol etmemiz mümküdür.

Deleted Objects Recovery İşlemleri

6- Şimdiki adımımızda senaryom gereği Active Directory'den bazı kullanıcı nesnelerini siliyorum.



6.1- Bu nesneleri silmek isteyip istemediğimizi soran diyalog penceresinde YES butonua basıyorum.



6.2- Active Directory'den kullanıcıların silindiğini görüyorum.



7- Silmiş olduğum bu kullanıcı nesnesi, Active Directory Administrative Center (ADAC)'da sol bölümde, Domain adının yazılı olduğu alanda Deleted Objects Container içinde tutulmaktadır.





8- Burada silinmiş olan nesneler, aşağıdaki Powershell Script ile de listelenebilmektedir.

Silinen Active Directory Nesnelerini hem PowerShell hem de GUI(Graphical User Interface) Üzerinden Restore etmek mümkündür. Bu makalemizde her ikisinin de örneği üzerinde duracacağım.

Silinen Active Directory Nesnelerini Powershell Üzerinden Restore Etme

9- Örneğimde User11 isimli kullanıcı nesnemi Restore edeceğim.



9.1- Silinen User11 isimli Active Directory nesnesini aşağıdaki PowerShell komutunu kullanarak Restore ediyorum. 

9.2- Active Directory Users and Computers açtığımda, Silinen User11 isimli Active Directory kullanıcı nesnesinin belirtilen OU=Users,OU=Istanbul,OU=Turkey,OU=Asia,DC=boyanfirat,DC=com LDAP dizinine başarılı bir şekilde Restore edildiğini görüyorum.



9.3- Active Directory Administrative Center (ADAC) üzerinde de Restore edildiğini görüyorum.

Silinen Active Directory Nesnelerini Restore Etme

10- Sağ üst kısımdaki Tasks alanı altında, Restore ve Restore To... seçeneklerini görüyorum. Bu seçeneklerden Restore, nesneyi silinmeden önceki konumuna kurtarabiliyoruz. Yani nesne, silinmeden önce Active Directory'de hangi Container içindeyse, yine o Container içine aktarılır. Restore To seçeneği ile ise nesnenin silinmeden önceki orijinal konumu dışında bizim istediğimiz başka bir konuma kurtarabiliyoruz.



Ben, Restore To seçeneğini seçerek, sildiğim neyseyi eski konumuna kurtaracağım.



11- Görüldüğü gibi, Active Directory'den sildiğim kullanıcı nesnesini başarılı bir şekilde OU=Users,OU=Ankara,OU=Turkey,OU=Asia,DC=boyanfirat,DC=com LDAP dizinine başarılı bir şekilde Restore edildiğini görüyorum.



Faydalı olması dileğiyle...