下载文档原格式
AD域用户删除后恢复
首先我们登陆一下TEST账户邮箱是有邮件的。
下面我们就把用户删除，域用户删除后邮箱也会同步删除的！但是EXCHANGE默认保留30天的时间可以恢复。
删除用户后在登陆会出现找不到用户
恢复使用自带的LDP工具恢复。
首先连接到服务器
连接-绑定
选项-控制-预定义加载选择Return recycle object
查看-树-选择你的域名
找到Deleted Objects-双击打开
找到TEST账户-右击修改
修改有两步骤
1先删除，属性:isdeleted操作:删除
2替换属性: distinguishedname值: CN=test,CN=users,DC=bigbigsun,DC=com操作:替换
运行完成后右侧状态栏中会显示成功
这时候我们在AD用户和计算机里面会发现原先的TEST用户已经恢复。
禁用状态需要手动更改密码和启用账户
恢复邮件
打开EMC管理控制台---收件人---邮箱---更多---连接邮箱---TEST---连接
选择：是，连接到上面显示的用户账户。
这里我们也可以选择连接其他用户。
比如员工离职邮箱删除后新员工来交接它的工作需要之前的邮件，这样原用户的邮件都会同步到新账户里面。
测试在登陆TEST账户看看邮件恢复了没。
删除WindowsAD域控制器的三种方法一、域控可以正常工作1、删除辅助域控：单击“开始”，单击“运行”，然后键入以下命令：dcpromo /forceremoval然后按提示操作。
2、删除主域控：1)打开Active Directory 用户和计算机->Domain Controllers,右键点击所要删除的辅助域控,在菜单上选择删除.确定删除这台域控制器永远为脱机并且不再能用，运行Active Directory 安装向导（dcpromo）将其降级确定删除然后到控制面板-->管理工具-->AD站点和服务-->Sites-->Default-First-Site-Name-->servers下面找到其他的辅助域服务器在删除备份域服务器前先要把其下面的NTDS Settings删除；他会有3种选择：1.域控制器降级，继续当计算机使用2.重新开启AD复制3.这台域控制器永远为脱机并且不再能用Active Directory 安装向导（dcpromo）将其降级。
删除NTDS Settings以后就可以把辅助域服务器删除掉了。
二、某台辅助域控已经不可用：在主域控上使用ntdsutil来清除无效的域控，具体操作方法可以参考下面的链接：/kb/216498/zh-cn三、上面使用的是Microsoft推荐的标准方法，但我发现使用图形界面也能彻底删除已经彻底损坏的域控。
到管理工具-->AD站点和服务-->Sites-->Default-First-Site-Name-->servers下面找到其他的辅助域服务器在删除备份域服务器前先要把其下面的NTDS Settings删除；再删除DNS服务器中所有记录并重启，也能够彻底删除掉废弃的域控。
但如果不重启主域控，则不能使用原域控的主机名作为新域控来重新加入。
通过LDAP在AD域控上进⾏添加、删除、修改、查询等各种操作。
LDAP操作代码样例初始化LDAP ⽬录服务上下⽂该例⼦中，我们使⽤uid=linly,ou=People,dc=jsoso,dc=net这个账号，链接位于本机8389端⼝的LDAP服务器（ldap://localhost:8389），认证⽅式采⽤simple类型，即⽤户名/密码⽅式。
private static void initialContext() throws NamingException{if(singleton == null){singleton = new LDAPConnection();/** 在实际编码中，这些环境变量应尽可能通过配置⽂件读取*///LDAP服务地址singleton.sLDAP_URL = "ldap://localhost:8389";//管理员账号singleton.sMANAGER_DN = "uid=linly,ou=People,dc=jsoso,dc=net";//管理员密码singleton.sMANAGER_PASSWORD = "coffee";//认证类型singleton.sAUTH_TYPE = "simple";//JNDI Context⼯⼚类singleton.sCONTEXT_FACTORY = "com.sun.jndi.ldap.LdapCtxFactory";singleton.envProps.setProperty(Context.INITIAL_CONTEXT_FACTORY, singleton.sCONTEXT_FACTORY);singleton.envProps.setProperty(Context.PROVIDER_URL, singleton.sLDAP_URL);singleton.envProps.setProperty(Context.SECURITY_AUTHENTICATION, singleton.sAUTH_TYPE);singleton.envProps.setProperty(Context.SECURITY_PRINCIPAL, singleton.sMANAGER_DN);singleton.envProps.setProperty(Context.SECURITY_CREDENTIALS, singleton.sMANAGER_PASSWORD);/** 绑定ldap服务器*/singleton.dirCtx = new InitialDirContext(singleton.envProps);}}通过⼀个Hashtable或者Properties对象为LDAP的Context设置参数，⽽后初始化InitialDirContext，即可绑定LDAP服务。
AD域添加⽤户添加客户端到AD域AD域添加⽤户:AD 域基本信息：AD域IP：192.168.235.238AD域⽤户名：administratorAD域密码：testpass1登陆AD域服务器，start-all programs-administrative tools-active directory users and computers 2选择/doc/af2758901.html---users3 在users上点击右键，选择new---user4 在向导中填⼊⽤户基本信息5、完成初始信息后，在user中会出现此⽤户，双击⽤户名，在⽤户属性中完善Email等基本信息。
6、⽤户添加完成添加XP客户端到AD域:1、更改internet protocol(TCP/IP) properties中的DNS为AD域的IP（否则加⼊后PC登陆会很慢且问题很多）。
2、点击my computer-properties-computer name检查full computer name是否是名字的全拼3 如果2中不是名字的全拼，点击change，将computer name更改为名字全拼。
4 点击Ok,会提⽰重启电脑，确认重启。
5 重启后，再次进⼊my computer-properties-computer name，点击change，将member of 更改为Domain,输⼊/doc/af2758901.html.6 确定后会要求输⼊域管理员账号密码，输⼊后确定提⽰加域成功，重启电脑。
7 再次进⼊电脑，右键我的电脑---mange-system tools—Local users and groups---groups,在administrators组中增加域⽤户。
8 将域⽤户名增加到administrator组，会提⽰输⼊域管理员密码9 输⼊管理员密码，确认后退出10重启电脑，在登录界⾯点击Options,将log on to选择SIMCOM-SY，输⼊域⽤户登录。
引用：/zh-cn/library/cc772074(WS.10).aspxAD DS 安装和删除中的新增功能更新时间: 2009年7月应用到: Windows Server 2008, Windows Server 2008 R2本主题介绍用于在Windows Server 2008 中安装和删除Active Directory 域服务(AD DS) 的新选项。
还对此内容进行了更新，包括Windows Server 2008 R2 的相应参考。
AD DS 在Windows Server 2008 中具有新的安装选项。
虽然AD DS 在Windows Server 2008 R2 中没有新的安装选项，但具有可以在AD DS 安装期间或安装后选择的新域和林功能级别。
此外，Adprep.exe 在Windows Server 2008 和Windows Server 2008 R2 中的位置不同。
必须运行Adprep.exe 才能将运行Windows Server 2008 或Windows Server 2008 R2 的域控制器添加到现有Windows 2000 Server 或Windows Server 2003 Active Directory 环境。
在Windows Server 2008 中，Adprep.exe 位于操作系统安装磁盘的/Sources/adprep 文件夹中。
在Windows Server 2008 R2 中，Adprep.exe 位于/Support/adprep 文件夹中。
Windows Server 2008 R2 包括32 位和64 位版本的Adprep.exe。
默认情况下运行64 位版本。
如果希望在32 位计算机上运行Adprep.exe 命令之一，请使用Adprep.exe 的32 位版本(Adprep32.exe)。
∙本主题介绍了以下新安装选项：∙Active Directory 域服务安装向导中的新选项∙新的无人参与安装选项∙RODC 选项∙DNS 选项∙全局编录服务器选项在Windows Server 2008 和Windows Server 2008 R2 域功能级别可以使用新功能。
AD域服务器处理建议AD域服务器处理建议1、涉及服务器主域服务器（简称56），备域服务器（简称57）2、AD域故障回顾2.1、主域被强制退域56使用了命令强制退域，以至AD域功能卸载，父域服务器已经删除关于56的资料。
唯一正常的是DNS服务。
2.2、备域超出墓碑石时间57由于长时间没有与56同步，超出180的墓碑石时间，被视为脱机，同时也无法提供AD服务。
2.3、备份两台服务器都有2012年4月的系统状态备份，而没有系统完整备份。
3、AD恢复过程简述3.1、主域服务器恢复56通过2012年4月的备份恢复了系统状态，AD域功能得以恢复部分功能。
由于父域服务器已经删除关于56的资料，可以说56恢复后只是一个独立的AD域服务器，并不能与其它域控制器同步，也无法识别其它域控制器。
只能当作应急的用户验证服务器使用，而且不能添加新的用户。
3.2、备域服务器恢复57通过2012年4月的备份恢复了系统状态，AD域功能得以恢复部分功能。
修改墓碑石时间后，57可以与其它域控制器同步。
但是57的DNS服务无法修复。
添加用户正常，但无法添加域计算机。
4、系统恢复后的风险分析4.1、AD功能风险恢复后的AD完整功能是由57的AD功能加上56的DNS功能共同承载，两台服务器只要其中一台出现故障，AD就会瘫痪，风险是单台服务器的两倍。
4.2、系统稳定性风险56和57所用的备份只是系统状态，而不是完整的系统备份。
恢复后，系统会比较不稳定，AD服务也会不稳定，会出现很多不可预知性的错误。
4.3、用户数量风险由于57无法加入域计算机，也就无法再添加备域，标识资源池会用尽，用户数量大约在1200左右就无法再添加。
5、后续解决建议由于AD域处于一个非常容易崩溃的状态，并不适合作为生产用途。
5.1、建议重新部署一个新的子域，使用新的系统完成AD搭建，同时作好备域的复制。
同时导入57域控中的用户。
配置webphere的参数，使其使用新AD数据进行验证。
AD域故障汇总Q1、客户机无法加入到域？一、权限问题。
要想把一台计算机加入到域，必须得以这台计算机上的本地管理员（默认为administrator）身份登录，保证对这台计算机有管理控制权限。
普通用户登录进来，更改按钮为灰色不可用。
并按照提示输入一个域用户帐号或域管理员帐号，保证能在域内为这台计算机创建一个计算机帐号。
二、用同一个普通域帐户加计算机到域，有时没问题，有时却出现“拒绝访问”提示。
问题的产生是由于AD已有同名计算机帐户，这通常是由于非正常脱离域，计算机帐户没有被自动禁用或手动删除，而普通域帐户无权覆盖而产生的。
解决办法：1、手动在AD中删除该计算机帐户；2、改用管理员帐户将计算机加入到域；3、在最初预建帐户时就指明可加入域的用户。
三、域xxx不是AD域，或用于域的AD域控制器无法联系上。
在2000/03域中，2000及以上客户机主要靠DNS来查找域控制器，获得DC的IP 地址，然后开始进行网络身份验证。
DNS不可用时，也可以利用浏览服务，但会比较慢。
2000以前老版本计算机，不能利用DNS来定位DC，只能利用浏览服务、WINS、lmhosts文件来定位DC。
所以加入域时，为了能找到DC，应首先将客户机TCP/IP配置中所配的DNS服务器，指向DC所用的DNS服务器。
加入域时，如果输入的域名为FQDN格式，形如gdb.local，必须利用DNS中的SRV记录来找到DC，如果客户机的DNS指的不对，就无法加入到域，出错提示为“域xxx不是AD域，或用于域的AD域控制器无法联系上。
”2000及以上版本的计算机跨子网（路由）加入域时，也就是说，加入域的计算机是2000及以上，且与DC不在同一子网时，应该用此方法。
加入域时，如果输入的域名为NetBIOS格式，如gdb，也可以利用浏览服务（广播方式）直接找到DC，但浏览服务不是一个完善的服务，经常会不好使。
而且这样虽然也可以把计算机加入到域，但在加入域和以后登录时，需要等待较长的时间，所以不推荐。
创建AD域及⽤户添加管理AD 域域：域是⼀种管理边界，⽤于⼀组计算机共享共⽤的安全数据库，域实际上就是⼀组服务器和⼯作站的集合。
其实上我们可以把域和⼯作组联系起来理解,在⼯作组上你⼀切的设置在本机上进⾏包括各种策略，⽤户登录也是登录在本机的，密码是放在本机的数据库来验证的。
⽽如果你的计算机加⼊域的话，各种策略是域控制器统⼀设定，⽤户名和密码也是放到域控制器去验证，也就是说你的账号密码可以在同⼀域的任何⼀台计算机登录。
AD：活动⽬录(Active Directory)主要提供以下功能：①基础⽹络服务：包括DNS、WINS、DHCP、证书服务等。
②服务器及客户端计算机管理：管理服务器及客户端计算机账户，所有服务器及客户端计算机加⼊域管理并实施组策略。
③⽤户服务：管理⽤户域账户、⽤户信息、企业通讯录（与电⼦邮件系统集成）、⽤户组管理、⽤户⾝份认证、⽤户授权管理等，按省实施组管理策略。
④资源管理：管理打印机、⽂件共享服务等⽹络资源。
⑤桌⾯配置：系统管理员可以集中的配置各种桌⾯配置策略，如：界⾯功能的限制、应⽤程序执⾏特征限制、⽹络连接限制、安全配置限制等。
⑥应⽤系统⽀撑：⽀持财务、⼈事、电⼦邮件、企业信息门户、办公⾃动化、补丁管理、防病毒系统等各种应⽤系统。
⼀、将Windows Server 2003安装⾄PC上⼆、将服务器安装AD控制器先设置AD域：1.依次打开：开始-运⾏-输⼊：Dcpromo2.下⼀步，选择⾃定义3.选中域控制器(Active Directory)下⼀步4.然后会让你安装dns和配置⽹络,5.把⽹卡的⽹线接好，处于已经连接状态，下⼀步6.安装完DNS以后，就可以进⾏提升操作了，先点击“开始—运⾏”，输⼊“Dcpromo”，然后回车就可以看到“Active Directory安装向导”在这⾥直接点击“下⼀步”:在这⾥由于这是第⼀台域控制器，所以选择第⼀项:“新域的域控制器”，然后点“下⼀步”:既然是第⼀台域控，那么当然也是选择“在新林中的域”:在这⾥我们要指定⼀个域名，我在这⾥指定的是，这⾥是指定NetBIOS名，注意千万别和下⾯的客户端冲突，也就是说整个⽹络⾥不能再有⼀台PC的计算机名叫“demo”，虽然这⾥可以修改，但是我建议还是采⽤默认的好，省得以后⿇烦。
Server1的五大角色转换到server2上.一旦server2异常关闭server1再把server2的角色占用过来.实验之前有两点要求:第一,两个DC必须是再同一个网段之内.第二,两个的DNS地址和网关必须一样.步骤如下:1、再server1上建立主AD。
2、再server2上打开“开始”-“程序”-“管理工具”-“管理您的伺服器”选择“添加或删除角色”选项。
3、点击“下一步”在“配置您的服务器向导”里面选中“域控制器”点击“下一步”选中“现有域的额外控制域”，点击“下一步”。
4、点击“下一步”，输入域名。
“浏览”下也行。
输入。
一直点击“下一步”直到完成。
然后从其计算机。
下面我们来把server1中的AD五大角色转移到server2里面。
第一、我们在server1中“WIN+R”键输入“cmd”打开dos命令。
在里面输入“regsvr32schmmgmt.dll”点击“回车”就会出现如图。
除管理单元”点击“添加按钮”选中“AD架构”点击“添加”按钮。
选中（AD架构）打开“操作”下拉菜单的“更改域控制器”选项，打开“改变域控制器”对话框。
选中“指定名称”单选框输入server2的全名称“”。
点击“确定”。
机”对话框。
点击“更改”。
第四、我们打开server2的“AD域和信任关系”选项。
点击“操作”选择“连接到域控制器”选项。
打开“连接到域控制器”对话框。
选中“”点击“确定”。
机”对话框中选中“更改”在谈书的对话框选择“是”。
就会出现“已成功转移操作主机”对话框。
第五、我们来通过命令方式转移域范围角色。
首先转移PDC 命令如下：Ntdsutil 回车Roles 回车Connection 回车Connect to server 回车Quit 回车Transfer PDC 回车点击“是”如果出现下图就说明转移成功。
以同样的方式转移其他角色，使用命令的具体转移方式是：Transfer PDC 转移PDC仿真主机Transfer RID master 转移RID主机Transfer infrastructure master 转移基础结构主机Transfer domain naming master 转移域命名主机Transfer schema master 转移架构主机注意：以上命令是不区分大小写的。
A D域域：域是一种管理边界，用于一组计算机共享共用的安全数据库，域实际上就是一组服务器和工作站的集合。
也病毒系统等各种应用系统。
一、将Windows Server 2003安装至PC上二、将服务器安装AD控制器先设置AD域：1.依次打开：开始-运行-输入：Dcpromo2.下一步，选择自定义3.选中域控制器(Active Directory)下一步4.然后会让你安装dns和配置网络,5.把网卡的网线接好，处于已经连接状态，下一步6.安装完DNS以后，就可以进行提升操作了，先点击“开始—运行”，输入“Dcpromo”，然后回车就可以看到“Active Directory安装向导”在这里直接点击“下一步”:在这里由于这是第一台域控制器，所以选择第一项:“新域的域控制器”，然后点“下一步”:既然是第一台域控，那么当然也是选择“在新林中的域”:在这里我们要指定一个域名，我在这里指定的是，这里是指定NetBIOS名，注意千万别和下面的客户端冲突，也就是说整个网络里不能再有一台PC的计算机名叫“demo”，虽然这里可以修改，但是我建议还是采用默认的好，省得以后麻烦。
在这里要指定AD数据库和日志的存放位置，如果不是C盘的空间有问题的话，建议采用默认。
这里是指定SYSVOL文件夹的位置，还是那句话，没有特殊情况，不建议修改:第一次部署时总会出现上面那个DNS注册诊断出错的画面，主要是因为虽然安装了DNS，但由于并没有配置它，网络上还没有可用的DNS服务器，所以才会出现响应超时的现像，所以在这里要选择:“在这台计算机上安装并配置DNS，并将这台DNS服务器设为这台计算机的首选DNS服务器”。
“这是一个权限的选择项，在这里，我选择第二项:“只与Windows 2000或Window 2003操作系统兼容的权限”，因为在我做实验的整个环境里，并没有Windows 2000以前的操作系统存在”这里是一个重点，还原密码，希望大家设置好以后一定要记住这个密码，千万别忘记了，因为在后面的关于活动目录恢复上要用到这个密码的。
windows server 2012 R2 AD删除用户或组织单位无法重建相同的名称解决方法
方法一：打开ADSI，找到“默认命名上下文”定位到相关的组织单位，
查找有没有相同的组织单位存在，如果有就删除。
注意：如上提示拒绝访问，跟相关权限不足有关，需要对网络账号服
务授权，如下
然后再删除。
就可以新建了。
方法：通过powershell命令来删除
1.用管理员运行“powershell”
2.输入:get-adgroup回车
3.filter:* 回车
就可以查看AD的活动目录信息
4运行：remove-adgroup -identiey“cn=设备研发部，ou=研发中心，DC=tiandeyi,DC=cc”回车
如果出现这样的，可以跟中文名称有关；那就需要换一种方式
5 get-adgroup–filter * -searchbase“cn=设备研发部，ou=研发中心，DC=tiandeyi,DC=cc”回车返回如下结果
6 .如果只返回一个结果我们就在后面加上”remove-adgroup”
get-adgroup–filter * -searchbase“cn=设备研发部，ou=研发中心，DC=tiandeyi,DC=cc ” | remove-adgroup
显示如下
输入：y
注意：如上提示拒绝访问，跟相关权限不足有关，需要对网络账号服
务授权，如下
然后再运行上面的命令就可以彻底删除了。
注意：同时会删除该组下的相同名称的组；
然后可以顺利新建与之前相同名称用户或者组织单位。
在AD域中，如何批量添加域用户帐号？作为网管，有时我们需要批量地向AD域中添加用户帐户，这些用户帐户既有一些相同的属性，又有一些不同属性。
如果逐个添加、设置的话，十分地麻烦。
一般来说，如果不超过10个，我们可利用AD用户帐户复制来实现。
如果再多的话，我们就应该考虑使用csvde.exe 或ldifde.exe来减轻我们的工作量了。
最后简单介绍一下利用脚本（可利用循环功能）批量创建用户帐号一、AD用户帐户复制1、在“AD域和计算机”中建一个作为样板的用户，如S1。
2、设置相关需要的选项，如所属的用户组、登录时间、用户下次登录时需更改密码等。
3、在S1上/右键/复制，输入名字和口令。
说明：1、只有AD域用户帐户才可以复制，对于本地用户帐户无此功能。
2、帐户复制可将在样板用户帐户设置的大多数属性带过来。
具体如下：二、比较csvde与ldifde三、以csvde.exe为例说明：域用户帐户的导出/导入操作步骤如下：1、在“AD域和计算机”中建一个用户，如S1。
2、设置相关需要的选项，如所属的用户组、登录时间、用户下次登录时需更改密码等。
3、在DC上，开始/运行：cmd4、键入：csvde –f demo.csv说明：（1）不要试图将这个文件导回，来验证是否好使。
因为这个文件中的好多字段在导入时是不允许用的，如：ObjectGUID、objectSID、pwdLastSet 和samAccountType 等属性。
我们导出这个文件目的只是为了查看相应的字段名是什么，其值应该怎么写，出错信息如下：（2）可通过-d –r参数指定导出范围和对象类型。
例如：-d “ou=test,dc=mcse,dc=com” 或-d “cn=users,dc=mcse,dc=com”-r “< Objectclass=user>”1、以上面的文件为参考基础，创建自己的my.csv，并利用复制、粘贴、修改得到多条记录。
如何在AD 中还原已删除的用户帐户及其组成员身份您可以使用三种方法还原已删除的用户帐户、计算机帐户和安全组。
这些对象统称为安全主体。
在所有这三种方法中，都是先对已删除的对象执行授权还原，然后再还原已删除安全主体的组成员身份信息。
还原已删除对象时，您必须还原受影响安全主体先前的member和memberOf属性值。
这三种方法如下：∙方法1：还原已删除的用户帐户，然后使用Ntdsutil.exe 命令行工具将已还原的用户添加到原来的组中（仅限Microsoft Windows Server 2003 Service Pack 1 [SP1]）∙方法2：还原已删除的用户帐户，然后将已还原用户添加至原来的组中∙方法3：对已删除的用户帐户和已删除的用户所在的安全组执行两次授权还原方法 1 和 2 可为域用户和管理员提供更好的体验，因为它们会保留自上次备份系统状态到发生删除这段时间内向安全组中添加的用户。
方法 3 不对安全主体进行个别调整，而是将安全组成员身份回滚到上次备份时的状态。
如果您不具有有效的系统状态备份，而且发生删除的域包含基于Windows Server 2003 的域控制器，您可以手动或以编程方式恢复已删除的对象。
您也可以使用Repadmin 实用工具来确定删除用户的时间和位置。
多数大规模删除都是意外发生的。
Microsoft 建议您采取一些措施，以防他人批量删除对象。
注意：要避免意外删除或移动对象，可以向每个对象的安全描述符中添加两个Deny 访问控制项(ACE)。
要在Windows 2000 Server 和Windows Server 2003 中执行此操作，请使用―Active Directory 用户和计算机‖、ADSIEdit、LDP 或DSACLS命令行工具。
在Windows Server 2008 中，―Active Directory 用户和计算机‖管理单元的―对象‖选项卡上包括一个―防止对象被意外删除‖复选框。
AD域恢复误删的用户账号在AD域中，有时候管理员误删了用户，而有一些权限或服务需要特定的用户，那么我们怎么恢复误删的用户呢？这时，我们可以使用服务器自带的工具ldap来恢复。
以下的方法只能恢复用户名称和SID号，该用户的其他属性会清空，恢复时时，用户是禁用状态的。
首先我删除了一个用户。
然后在开始运行》输入cmd。
打开命令提示符，输入ldp命令之后回车！再ldp界面上面点击》连接，选择》绑定，如下图：出现如下窗口，点击确定。
如下图：在该窗口选择》选项，点击》控制，如下图：在控制界面的》预定于加载下拉框，选择》Return deleted objects如下图：然后点击》查看，选择》树在树视图中输入自己的ADDS，我这里是：DC=hailin，DC=com，如下图：然后会出现左边的列表，展开列表，双击CN=Deleted Objects，DC=hailin，DC=com；这里存放已经删除的对象，如下图：下面显示所有删除的系统用户；找到自己删除的用户的名字，然后右键，点击修改。
如下图：在弹出的界面的“编辑条目属性”输入isDeleted的属性。
操作选择“删除”，然后点击输入。
这个操作是把已经删除的用户的属性删掉，等于该用户没有删掉。
然后在添加条目，distinguishedName，值：CN=误删用户,CN=Users,DC=hailin,DC=com 这条命令需要看自己的实际情况，用户如果不是在默认的Users里面，而是在其他组织单元里面，需要修改相应的目录，比如该用户在，研发部/测试部里面，那么需要这样填写：CN=用户名,OU=测试部,OU=研发部,DC=hailin,DC=com选择替换，然后点击输入，如下图所示：然后点击界面下面的扩展，再点击运行，如下图所示:这时会看到有边的界面已经显示执行的信息了，如下图：打开Active Directory用户和计算机，这时会看到删除的用户，已经恢复出来了，如下图：默认恢复的用户是禁用的，而且该用户的属性都是清空的，需要手动添加属性。
