使用PowerShell恢复AD用户对象时遇“服务器拒绝处理请求”错误求助

以下是可能导致报错的原因及对应的解决办法：

• 权限不足
  即使PowerShell以管理员身份启动，恢复AD删除对象需要域管理员权限，或被明确授予"还原删除对象"的域权限。普通本地管理员权限不生效，换域管理员账号重新执行命令尝试。

• 父容器已被删除
  如果原用户所在的OU已被删除，Restore-ADObject无法自动重建父容器。可以先恢复对应的OU，或者用-TargetPath参数指定一个存在的OU作为恢复目标：

  Get-ADObject -Filter 'Name -like "<name-of-deleted-user>*" -AND IsDeleted -eq $True' -IncludeDeletedObjects | Restore-ADObject -TargetPath "OU=Users,DC=contoso,DC=com"
  

• 属性冲突
  被删除用户的samAccountName、userPrincipalName等唯一属性可能已被新对象占用。先检查属性是否被占用：

  Get-ADUser -Filter "samAccountName -eq '<原用户sam账号>'"
  

  若已占用，恢复时用-Replace参数修改冲突属性：

  $deletedUser = Get-ADObject -Filter 'Name -like "<name-of-deleted-user>*" -AND IsDeleted -eq $True' -IncludeDeletedObjects
  Restore-ADObject -Identity $deletedUser -Replace @{samAccountName = "<新sam账号>"; userPrincipalName = "<新UPN>"}
  

• AD回收站未启用
  若域未启用AD回收站功能，删除对象处于逻辑删除状态但无法直接用Restore-ADObject恢复。验证是否启用：

  Get-ADOptionalFeature -Filter {Name -eq "Recycle Bin Feature"}
  

  查看EnabledScopes是否包含你的域DN。该功能仅支持域功能级别Windows Server 2008 R2及以上，启用后无法关闭。未启用的话，只能通过系统状态备份恢复。

• 超过墓碑生存期
  AD删除对象默认保留180天（墓碑生存期），超过后会被彻底删除。查看对象删除时间：

  Get-ADObject -Filter 'Name -like "<name-of-deleted-user>*" -AND IsDeleted -eq $True' -IncludeDeletedObjects -Properties whenDeleted
  

  若时间差超过墓碑生存期，无法通过该命令恢复，只能依赖备份或手动重建。

是否需要手动重建？ #

如果上述方案都无法解决（比如对象已彻底删除、无可用备份），则需要手动重建用户。重建时需注意迁移原用户的组权限、登录脚本、Exchange邮箱数据（如有）等关联资源。

内容的提问来源于stack exchange，提问作者bingobango