Event ID 4748 в Windows Server: локальная группа распространения удалена
Суть события Event ID 4748
Событие Event ID 4748 фиксирует факт безвозвратного удаления локальной группы распространения из каталога Active Directory или базы SAM автономного сервера. После этого события почтовые письма, отправленные на адрес этой группы, будут возвращаться отправителям с ошибкой недоставки (NDR).
| Поле аудита | Значение |
|---|---|
Target Account: Group Name | Имя удаленной группы. |
Subject: Account Name | Администратор или скрипт, удаливший объект. |
Что делать при обнаружении удаления группы
- Определите, кто удалил группу: найдите запись события 4748 в журнале безопасности контроллера домена.
- Восстановите объект из корзины Active Directory: если корзина AD (Recycle Bin) включена, восстановите группу одной командой PowerShell:
# Восстановление удаленной группы из корзины AD:
Get-ADObject -Filter 'isDeleted -eq $true -and name -like "*Бухгалтерия-Рассылка*"' -IncludeDeletedObjects |
Restore-ADObjectВажно: После восстановления группы из Active Directory Recycle Bin восстанавливаются также все ее почтовые атрибуты и списки участников без необходимости ручной перенастройки.
Частые вопросы (FAQ)
Удаляются ли пользователи при удалении группы?
Нет, удаление группы никак не затрагивает учетные записи пользователей, которые в нее входили.
Что произойдет с почтой Exchange, если группу удалили?
Письма перестанут доставляться на почтовый адрес группы, отправители будут получать отчет о недоставке (550 5.1.1 User unknown).
Как защитить критически важные группы от случайного удаления?
В свойствах объекта группы в Active Directory установите флажок «Protect object from accidental deletion» (Защитить объект от случайного удаления).
Сколько времени удаленная группа хранится в корзине AD?
По умолчанию срок жизни удаленных объектов (tombstone / deleted object lifetime) составляет 180 дней.
