AD维护管理工具详解（四）LDP

可以用这个工具绑定DC，获得对象的信息，还可以“修改”，搜索、添加、删除等。还允许你查找被删除的对象。作用类似AD用户和计算机，功能更强大。可查看AD对象更详细的信息，如GUID、SID等。

1、安装：运行03光盘\SUPPORT\TOOLS\ suptools.msi，将安装在C:\Program Files\Support Tools夹下，还有许多别的工具，如接下来的ADSIedit.msc。

2、使用：

（1）开始/运行：ldp，启动LDP。

（2）连接/绑定：管理员帐号。

（3）查看/树，输入BaseDN，如dc=mcse03,dc=com。

这样就可以对AD对象进行查看、编辑、添加、删除等。

LDP还原单个误删除对象如：用户账号，组，ou等

1.(需要先安装windows2003server support.msi工具)调用ldp.exe的主程序窗口后,它需要先确认召唤它的主人的身份.点击Connection(连接),然后在下拉菜单中点击Bind(绑定),

 然后输入自己的具有域管理员身份的帐号和密码还有要登录的域名,点击"OK".

 可以看到通过身份验证的提示和一大串别的信息.

在"Options"菜单中，单击“Controls”,展开"Load"下拉菜单,单击"Return deleted objects",然后"确定".

 又回到主画面,点击"View"--->"Tree",在BaseDN中输入DC=CONTOSO,DC=COM,点击"OK".

 在控制台树中双击根DN,终于可以看到CN=Deleted Objects,DC=contoso,DC=com容器了.

 而且令老冯眼前一亮的是,打电话的这个MM的域帐号果然也在此容器内.

接着在这个被删除对象上右键,选择"Modify".

 然后在弹出的对话框中依次执行:

1.在“Edit Entry Attributes”中输入 isDeleted

2.保留“Values”框为空值

3.在“Operation”下单击“Delete”，然后单击“Enter”

4.在“Edit Entry Attributes”中，输入 distinguishedName

5.在“Values”中，键入此 Active Directory 对象的原始DN（可分辨名称）:CN=f6825091,OU=Finance,DC=contoso,DC=com

6.在“Operation”下单击“Replace”

7.选中“Extended”复选框，单击“Enter”，然后单击“Run”

 如果一切顺利,不会返回任何error信息.

 回到"Active Directory用户和计算机"控制台上点击进用户原来的OU,可以看到用户账号已经被还原回来了.可需要重新设置密码和启动账户

 但是,你会发现,除了被还原回来的账号处于禁用状态,其属性中还丢失了很多信息,例如,姓名,所属组等.这是设计使然.当活动目录对象被删除时,除了objectGUID属性等被保留,其他属性都会被剔除.如果我们想要修改墓碑对象中哪个属性会被保留,需要使用ADSIEDIT.MSC工具打开活动目录架构, 找到想要保留的每个属性(例如Address)，设置对应的searchFlags属性值为 0x00000008。然而链接属性，就像组成员关系，即使设置也不能保留。所以被还原回来的用户帐号还需要手动再加一遍组成员关系等.

 

2．AdRestore.exe(下载地址: http://live.sysinternals.com下载成功后请将此程序拷贝入%windir%system32目录下),

  adrestore.exe使用起来很简单,命令提示符中键入adrestore回车,就可以看到被删除的活动目录对象信息,

然后使用adrestore -r 后面加想要被还原的对象的cn,回车

会提示是否要还原选定对象,键入Y,再回车,

被删除的用户也顺利恢复了.比起使用ldp.exe可真是大大节省了时间.

不过和ldp.exe一样,存在帐户属性信息丢失和所属组丢失的情况.