OU的“防手滑删除”需手动启用Protect from accidental deletion标志位，仅作用于当前OU；AD回收站必须提前启用才可还原已删OU，否则不可逆丢失。
怎么给OU加“防手滑删除”开关
ou本身没有全局防护机制，保护靠的是一个叫 protect from accidental deletion 的对象级标志位——它不是策略，不继承，也不自动生效，必须手动勾选或用脚本批量打上。
- 在
Active Directory 用户和计算机中，先点「查看 → 高级功能」，否则「对象」选项卡压根不会出现 - 右键目标OU → 「属性」→ 切到「对象」选项卡 → 勾选
防止对象被意外删除 - 这个设置只管当前OU一层，子OU、用户、组全不受影响；想全覆盖，得用PowerShell跑一遍：
Get-ADOrganizationalUnit -Filter * | Set-ADObject -ProtectedFromAccidentalDeletion $true - 勾选后，普通删除操作会直接报错「访问被拒绝」，连确认弹窗都不会弹——这是正常现象，不是失败
误删了但没开回收站，还能救吗
不能。AD原生不提供“撤回删除”功能，AD Recycle Bin 是唯一支持还原已删OU的内置方案，但它有个死规矩：必须在OU被删**之前**就启用，否则所有已删对象都进不了回收站，只留下墓碑（tombstone）等垃圾收集进程扫走。
- 检查是否启用：
Get-ADOptionalFeature -Filter {Name -eq "Recycle Bin Feature"}，看EnabledScopes是否非空 - 如果返回空，说明没启用，现在启用也救不了历史删除——它不回溯生效
- 未启用+无备份=不可逆丢失，第三方工具（如Quest、Netwrix）也无能为力，除非你早开了审计日志并存了完整变更快照
开了回收站，怎么精准找回那个OU
回收站里的对象带 Deleted 和 lastKnownParent 属性，还原关键就是靠它们定位原始位置和上下文，不是随便挑个DN就能 Restore。
- 查被删OU：
Get-ADObject -Filter {Deleted -eq $true -and ObjectClass -eq 'organizationalUnit'} -IncludeDeletedObjects - 按原路径还原（推荐）：
Get-ADObject -LDAPFilter "(msDs-LastKnownRDN=Sales)" -IncludeDeletedObjects | Restore-ADObject - 还原后OU会回到原父容器下，但ACL、GPO链接、委托权限可能丢失或不完整，得人工核对补全
- 别漏掉OU里的人和组：回收站默认不递归还原子对象，要单独查：
Get-ADObject -SearchBase "CN=Deleted Objects,DC=domain,DC=com" -Filter {lastKnownParent -eq "OU=Sales,DC=domain,DC=com"} -IncludeDeletedObjects | Restore-ADObject
adrestore / LDP / ADSI Edit 这些老工具还靠谱吗
它们绕过回收站，直操作墓碑对象，但风险高、步骤碎、易出错，2026年仍可用，但只该是“没退路时的备选”，不是首选。
-
adrestore.exe是命令行小工具，需反复执行两次才能还原OU及其子对象，且还原后用户账户默认是禁用状态，容易忽略启用步骤 -
LDP.exe或ADSI Edit手动修改isDeleted和lastKnownParent属性，稍有拼写错误或DN格式不对，对象就永久损坏 - 用
ADSI Edit改tombstoneLifetime不影响已删对象恢复，只影响未来删除的保留时长；改完还得等GC周期（默认24小时）才生效
真正容易被忽略的点是：还原后OU的 ntSecurityDescriptor（安全描述符）常不完整，尤其跨林迁移或曾用脚本批量设过权限的OU，得用 Get-Acl + Set-Acl 对比基线重置，否则后续委派或GPO应用可能静默失败。
