Срок хранения удалённых объектов AD в зависимости от версии Windows

Как известно, объекты AD удаляются не сразу. Вместо них создаются объекты-захоронения (tombstone objects) имеющие лишь незначительную часть аттрибутов первоначального объекта. Помимо этого параметр isDeleted такого объекта равен true. В связи с этим имеется интересный вопрос – как долго такие объекты хранятся? Время хранения определяется свойством tombstoneLifetime объекта CN=Configuration,DC=ForestRootDomainName, CN=Services,CN=Windows NT,CN=Directory Service.

Что интересно – по умолчанию этот параметр не задаётся. Это может означать, что его значение может меняться от версии к версии. В итоге у меня получилась следующая табличка по значениям этого аттрибута:

Первый контроллер домена в лесу	Значение tombstoneLifetime
Windows 2000	60 days
Windows Server 2003	60 days
Windows Server 2003 with Service Pack 1	180 days
Windows Server 2003 R2	60 days
Windows Server 2003 with Service Pack 2	180 days
Windows Server 2008	180 days
Windows Server 2008 R2	180 days

Следует так же помнить, что значение tombstoneLifetime наследуется при обновлении операционных систем контроллеров доменов. Это значит, что если лес создавался на базе Windows 2000/2003 (без SP1)/2003 R2, затем контроллеры домена менялись на серверы на базе следующих версий Windows, то срок хранения удалённых объектов будет 60 дней. Если же лес создавался на базе Windows 2003 SP1/2008/2008 R2, то 180 дней, даже после обновления на следующие версии Windows.

Ещё один небольшой штрих. При установке на Windows Server 2003 SP1 версии R2 значение аттрибута менялось на 60 дней, но это поведение считается ошибкой и исправляется установкой SP2, о чём говорится в статье ниже.

Интересные ссылки:
Information about lingering objects in a Windows Server Active Directory forest
New Active Directory features in Windows Server 2003 with Service Pack 1 (SP1)
The default tombstone lifetime (TSL) value remains at 60 days instead of increasing to 180 days in Windows Server 2003 R2
Scenario Overview for Restoring Deleted Active Directory Objects