 |
|
|
|
PowerShell. Поиск объектов в каталоге Active Directory
PowerShell. Поиск объектов в каталоге Active Directory Получение информации из каталога Active Directory в девяти случаях из десяти сводится к поиску объектов, которые удовлетворяют заданным критериям. В каталоге Active Directory объекты хранятся в иерархической структуре, поэтому для получения доступа к нужному объекту необходимо указать к нему путь в формате RDN. Обычно местоположение объекта неизвестно или оно может измениться, поэтому программный способ поиска объекта/объектов по заданным условиям – самое эффективное средство для определения его местонахождения. Иерархическая структура каталога Active Directory Иерархическая структура каталога Active Directory обычно формируется с помощью специфических объектов – контейнеров (Organizational Unit), которые имеют префикс «OU=». Контейнеры, образующие домен, имеют префикс DC (Domain Component). Большинство других объектов кроме корня домена имеют префикс «CN=» (Common Name). Однако и здесь существует исключение: служебные контейнеры также имеют префикс «CN=». Тип объекта определяется набором элементов массива objectClass. Поиск объектов осуществляется по заданным критериям. Чаще всего одним из заданных критериев является тип объекта. В таблице 1 приведены типы объектов и соответствующие им значения элементов массива objectClass. При составлении запроса необходимо учитывать пересечения элементов массива. Ярким примером является запрос поиска всех учетных записей компьютеров и пользователей. Оба класса относятся к классу person, однако учетные записи компьютеров дополнительно входят в класс Computer (см. таблицу 1), именно поэтому для выборки всех учетных записей необходимо в фильтре это учесть: (&(objectClass=user)(!objectClass=Computer)). Таблица 1. Типы объекта в Active Directory
Поиск объектов в Active Directory при помощи библиотек .NET Framework осуществляется с помощью класса DirectorySearcher, относящегося к пространству имён System.Directory Services. Процедура поиска имеет несколько характеристик, основные из которых:
Область поиска Поиск объекта может быть осуществлен в одной из трех областей:
Критерии поиска При составлении критерия, или, как его еще называют, фильтра поиска, используют выражения, строящиеся по определенным правилам, а именно (см. таблицу 2):
Таблица 2. Операторы фильтра поиска
Приведу несколько характерных примеров фильтров:
Встречаются случаи, в которых необходимо в качестве значений указывать служебные символы, например звездочку, скобку и др. Чтобы реализовать эту возможность, нужный символ требуется заменить на соответствующее ему кодовое значение, приведенное в таблице 3. Таблица 3. Служебные символы, используемые в фильтрах поиска
Сортировка элементов Сортировка элементов осуществляется с помощью метода sort, поддерживающего два свойства: PropertyName и Direction. С помощью свойства PropertyName производится назначение поля, по которому будет осуществляться сортировка, а с помощью Direction – направление. В случае Sort.Direction=0 осуществляется упорядочивание от «А» до «Я», при Sort.Direction=1 – в обратном порядке. Пример поиска объектов в Active Directory Приведу пример поиска всех учетных записей пользователя на букву «А». Дополнительно выполним сортировку выводимых данных от А к Я по полю name. Рассмотрим алгоритм работы сценария. Сначала необходимо вызвать объект DirectorySearcher и указать точку монтирования к каталогу Active Directory. Затем укажем область поиска – весь каталог Active Directory: SearchScope = subtree. Критерий поиска логически складывается из двух элементов: в первом выберем все учетные записи пользователей. Это можно сделать, указав фильтр (&(objectClass=user)(!(objectClass=Computer))). Вторым критерием из всех найденных учетных записей отберем начинающиеся с буквы «А». Для этого используем фильтр (&(name=А*)). С помощью символа «*» обозначают произвольное содержимое. Объединив оба фильтра в один, получим: (&((objectClass=user)(name=А*))(!(objectClass=Computer))). После определения всех необходимых атрибутов поиска необходимо запустить процесс поиска с помощью одной из функций: FindAll() или FindOne().Поскольку объектов заведомо больше одного, то в данном случае рекомендуется использовать FindAll(). Чтение элементов осуществляется с помощью цикла For...Next. Массив – коллекция SearchResults, возвращаемая функцией FindAll(), элемент коллекции – SearchResult. Для чтения свойств найденных объектов необходимо получить доступ к его пространству имен с помощью метода DirectorySearcher и, наконец, с помощью параметризированного свойства (Parameterized property) Properties() получить требуемое значение. В листинге 1 приведен рассмотренный пример на языке VB.NET, а в листинге 2 – на PowerShell. Листинг 1. Поиск объектов по заданным критериям (VB.NET) Dim obj As New DirectorySearcher("LDAP://RootDSE") obj.SearchScope = SearchScope.Subtree obj.Filter = "(&(objectClass=person)(name=a*)(!objectClass=computer))" obj.Sort.PropertyName = "cn" obj.Sort.Direction = SortDirection.Ascending For Each element As SearchResult In obj.FindAll() Dim obj2 As DirectoryEntry = element.GetDirectoryEntry() msgbox obj2.Properties("cn").Value) Next В листинге 2 код отличается. Значительные изменения в сторону упрощения претерпевает вывод значений элементов полученного массива. В отличие от классического For.... Next, в PowerShell можно использовать инструкцию foreach-object или короткий псевдним % (знак процента). В этом случае доступ к элементам массива осуществляется с помощью специальной переменной «$_». Листинг 2. Поиск объектов по заданным критериям (PowerShell) $obj = new-object DirectoryServices.DirectorySearcher("LDAP://RootDSE") $obj.SearchScope = "Subtree" $obj.Filter = "(&(objectClass=person)(name=a*)(!objectClass=computer))" $obj.Sort.PropertyName = "cn" $obj.Sort.Direction = "Ascending" $obj.FindAll() | %{ $obj2=$_.GetDirectoryEntry() $obj2.cn Заключение Подводя итог написанному, необходимо сказать, что поиск объектов – очень мощное средство. Грамотно составленный запрос, верно определенные области поиска и сортировка позволят с легкостью формировать сложнейшие отчеты, на составление которых могло бы уйти гораздо больше времени. |
Иван КоробкоКомментарии отсутствуют
| Добавить комментарий |
|
Комментарии могут оставлять только зарегистрированные пользователи |
|
