Windows域中OU误删后能否恢复取决于是否提前启用AD回收站且删除在保留期内；防护需手动勾选“防止对象被意外删除”，该设置不继承，须逐个或批量配置。
windows域环境中，组织单位（ou）一旦被误删除，若未提前启用防护机制，恢复将非常困难。active directory 默认不启用 ou 删除保护，必须手动配置“防止对象被意外删除”属性，这是最基础且有效的防护手段。
如何为OU开启误删除保护
该功能本质是通过设置对象的 Protect from accidental deletion 标志位，阻止对OU及其子对象执行删除操作（需显式取消勾选才能删除）。操作步骤如下：
- 在“Active Directory 用户和计算机”中，启用“高级功能”（查看 → 高级功能）
- 右键目标OU → 选择“属性” → 切换到“对象”选项卡
- 勾选“防止对象被意外删除”，点击“确定”
- 注意：此设置仅对当前OU生效，不会自动继承给下级OU；如需全面防护，需逐个设置或通过PowerShell批量处理
误删OU后的恢复前提与限制
开启保护后，误删操作会被系统直接拒绝（提示“访问被拒绝”），因此真正发生删除，往往意味着该OU原本未受保护，或保护已被人为取消。此时能否恢复取决于以下条件：
- 域控制器启用了回收站功能（AD Recycle Bin），且在OU删除前已启用（该功能不可回溯启用）
- 删除操作发生在回收站保留周期内（默认180天，可配置）
- 执行恢复的账户具有“目录林管理员”或“Enterprise Admins”权限
- OU内对象未被其他方式（如脚本、第三方工具）彻底清除或覆盖
启用AD回收站并恢复已删OU
回收站是恢复已删OU的唯一原生方案，但必须提前启用。若尚未启用，现在开启也无法恢复历史删除。启用及恢复流程如下：
-
启用回收站：以企业管理员身份运行 PowerShell，执行
Enable-ADOptionalFeature 'Recycle Bin Feature' -Scope ForestOrConfigurationSet -Target 'yourdomain.com' -
查找已删OU：使用
Get-ADObject -Filter {Deleted -eq $true -and ObjectClass -eq 'organizationalUnit'} -IncludeDeletedObjects -
还原OU：获取其
DistinguishedName后，执行Restore-ADObject 'CN=DeletedOU\0ADEL:xxxx...,DC=domain,DC=com' - 还原后OU会回到原位置，但ACL、组策略链接等部分属性可能需手动检查补全
替代方案与补充建议
若未启用回收站，且无系统状态备份，原生AD无法恢复已删OU。此时可考虑：
- 从最近一次系统状态备份（如Windows Server Backup）中授权还原整个AD数据库（需重启DC至DSRM模式）
- 使用第三方AD审计工具（如Netwrix Auditor、Quest Recovery Manager）——前提是部署后已开启变更日志记录
- 日常应建立OU结构文档+定期导出OU列表（
dsquery ou -limit 0 > ou_list.txt），便于快速识别异常缺失 - 对关键OU实施最小权限原则，避免普通管理员拥有删除权限
