PowerShell. Определяем имя текущего домена::Журнал СА 4.2009

Иван Коробко

PowerShell. Определяем имя текущего домена

При подключении к каталогу Active Directory первый шаг – определение имени текущего домена. Для этого используется виртуальный объект RootDSE.

PowerShell позиционируется компанией Microsoft как скриптовый язык, поддерживающий библиотеки .Net Framewok и призванный заменить существующие VBScript и JScript. Принципиальное отличие PowerShell от своих предшественников – поддержка объектно-ориентированного программирования.

Framework – с помощью библиотеки System.DirectoryServices.

Поскольку PowerShell в первую очередь ориентирован на работу с .NET Framework, то администраторам придется узнать основы программирования в Visual Studio в облегченном варианте.

Способы подключения к Active Directory

Для доступа к каталогу Active Directory используется один из двух провайдеров: WinNT или LDAP. Первый из них использовался в доменах Windows NT и в настоящее время используется для совместимости. Основным протоколом доступа к Active Directory является LDAP. В связи с этим провайдер WinNT рассматриваться не будет.

Виртуальный каталог RootDSE

Виртуальный объект RootDSE является точкой входа в любой домен, который содержит информацию о домене в целом, доступных пространствах имен, поддерживаемой версии LDAP и др. Первоначально объект RootDSE был определен в RFC 2251 [1] как часть спецификации LDAP версии 3.

Для подключения к RootDSE используется бессерверное подключение. Чтобы определить имя домена, используется локатор контроллера домена, который находится на каждом контроллере. Доступ к объекту осуществляется анонимно.

Определение имени текущего домена

На практике виртуальный каталог RootDSE используется для определения имени текущего домена, а также косвенным образом для определения принадлежности сервера к тому или иному сайту.

Как известно, существуют три варианта обозначения имени домена:

RDN (Relative Distinguished Name) – относительное уникальное имя, например DC=ISLAND,DC=RU;
FQDN (Fully Qualified Domain Name) – полное доменное имя или DNS-имя, в котором компоненты разделены точкой, например ISLAND.RU;
NetBIOS-имя – обычно первая часть DNS-имени домена, например ISLAND.

На практике для управления объектами Active Directory с помощью провайдера LDAP используется имя домена, записанное в RDN-формате. Домен имеет древовидную структуру, в которой доступны несколько пространств имен. Каждое из них имеет свою точку входа:

defaultNamingContext. Описываемое этим параметром пространство имен используется для управления учетными записями пользователей, групп, контейнеров и других объектов в оснастке Active Directory Users and Computers.
sсhemaNamingContext. Данным параметром описывается местоположение схемы домена.
configurationNamingContext. Содержит RDN-путь к разделу, содержащему путь к конфигурации леса текущего домена.
rootDomainNamingContext. Значением параметра является RDN-путь к корню домена (домен, который был создан первым в лесу).

Имя текущего домена является значением параметра defaultNamingContext. Поскольку PowerShell представляет собой нечто среднее между Visual Studio и VBScript, то рассмотрим управление объектом RootDSE с помощью трех языков программирования (VB.NET, VBScript и PowerShell), чтобы наглядно показать все преимущества PowerShell.

Удаленное подключение к каталогу Active Directory (провайдер LDAP) обеспечивается с помощью Active Directory Services Interface (ADSI). В VBScript для этого используется функция GetObject(), в качестве аргумента которой фигурирует путь к объекту. В PowerShell для решения идентичной задачи вместо функции GetObject() в квадратных скобках указывается ключевое слово ADSI, а в кавычках, следующих далее, – путь к объекту.

Определение RDN-имени текущего домена с помощью виртуального объекта RootDSE состоит из двух этапов. Первый этап – получение доступа к RootDSE, второй – чтение строкового значения параметра defaultNamingContext. На языке VBScript для этого используется функция GetObject(), аргументом которой является путь к виртуальному объекту: LDAP://RootDSE, и чтение значения с помощью функции GET, аргументом которой в свою очередь является имя параметра (см. листинг 1).

Листинг 1. Определение RDN-имени домена (VBScript)

Set obj = GetObject("LDAP://rootDSE")

domain = obj.Get("defaultNamingContext")

MsgBox domain

Эту же операцию в VB.NET можно осуществить двумя способами:

с помощью COM-объекта. Так же как и в VBScript, осуществляется вызов функции GetObject() и с помощью метода GET – чтение значения параметра defaultNamingContext;
с помощью класса DirectoryEntry, входящего в состав библиотеки Directory Services .Net Framework (см. листинг 2).

Первый способ рассматриваться не будет, поскольку его скорость работы по сравнению со вторым оставляет желать лучшего.

Подключение к проекту библиотеки System.DirectoryServices

Для реализации второго способа необходимо к созданному в Visual Studio проекту подключить библиотеку System.DirectoryServices (см. рисунок).

Листинг 2. Определение RDN-имени домена (VB.NET)

Imports System.DirectoryServices

...

Dim obj As New DirectoryEntry("LDAP://RootDSE")

Dim domain As String = obj.Properties("defaultNamingContext").Value

MsgBox (domain)

Несмотря на то что PowerShell поддерживает COM-объекты, рекомендуется отдать предпочтение библиотекам .NET Framework, поскольку скорость работы сценария в этом случае увеличится. Для получения имени домена все так же используется библиотека System.DirectoryServices, однако ее нет необходимости подключать, поскольку многие популярные библиотеки сразу доступны после запуска оболочки PowerShell. Листинг сценария очень похож на листинг VB.NET (см. листинг 3).

Листинг 3. Определение RDN-имени домена (VB.NET)

$obj=[ADSI]"LDAP://RootDSE"

$domain=$obj.defaultNamingContext

$domain

Обратите внимание: все имена переменных в PowerShell начинаются с символа доллара ($).

Как видно, листинг по своему объему сопоставим с листингом на VBScript, а по скорости работы – с VB.NET.

Заключение

После того как определено имя текущего домена, вы получаете доступ ко всему каталогу Active Directory. Степень дозволенности определяется правами, выданными системным администратором. В общем случае доступны поиск объектов, на которые есть соответствующие разрешения, и чтение их свойств.

RFC2251 – Lightweight Directory Access Protocol (v3) – http://www.faqs.org/rfcs/rfc2251.html.