Event ID 5138 Windows Server, AD и Роли

Event ID 5138: A directory service object was undeleted — восстановление из корзины AD

Обновлено: 28.08.2026 · Официальная база знаний

Что означает Event ID 5138 в Active Directory

Событие Event ID 5138 фиксируется в журнале безопасности контроллера домена, когда ранее удаленный объект (пользователь, компьютер или группа) восстанавливается (undeleted/restored) из корзины Active Directory Recycle Bin или реанимируется из состояния Tombstone.

Важность события для аудита

Позволяет зафиксировать факт возврата учетной записи в строй после случайного или ошибочного удаления.
Фиксирует имя администратора, выполнившего восстановление, и исходное местоположение объекта.
Содержит GUID объекта и его восстановленный Distinguished Name (DN).

Как работает восстановление объектов через Active Directory Recycle Bin

Справка: При включенной корзине AD восстановленный объект возвращает все свои атрибуты, включая SID, пароль и членство в группах безопасности без потери данных.

Проверка статуса корзины Active Directory Recycle Bin:
Убедитесь, что корзина включена на уровне леса:
```
(Get-ADForest).RecycleBinEnabled
```
Поиск удаленных объектов, доступных для восстановления:
Просмотрите список объектов в контейнере Deleted Objects:
```
Get-ADObject -Filter 'isDeleted -eq $true' -IncludeDeletedObjects -Properties isDeleted, lastKnownParent
```
Восстановление удаленного пользователя через PowerShell:
Восстановите объект по его имени или GUID:
```
Get-ADObject -Filter 'samaccountname -eq "alex"' -IncludeDeletedObjects | Restore-ADObject
```
Анализ учетных записей, восстановивших объект:
Изучите поле Subject -> Account Name в событии 5138 для подтверждения авторизованности операции.

Практический опыт инженера: Обязательно включите Active Directory Recycle Bin сразу после развертывания леса домена (уровень леса не ниже Windows Server 2008 R2). Это однократная необратимая операция, которая защитит от катастрофических последствий случайного удаления OU.

Частые вопросы (FAQ)

В чем разница между восстановлением из корзины и реанимацией Tombstone?

При реанимации Tombstone (без корзины) объект теряет большинство атрибутов (членство в группах, пароли), а при восстановлении из Recycle Bin объект возвращается полностью идентичным.

Сколько времени удаленный объект хранится в корзине AD?

По умолчанию время жизни удаленного объекта (Deleted Object Lifetime) составляет 180 дней.

Какая подкатегория аудита фиксирует событие 5138?

Подкатегория 'Audit Directory Service Changes' в ветке DS Access.

Можно ли восстановить удаленное подразделение (OU) со всеми пользователями внутри?

Да, но восстанавливать объекты необходимо в строгом порядке: сначала родительское OU, а затем дочерние объекты.