PowerShell: работа с Active Directory::Журнал СА 1-2.2014
www.samag.ru
     
Поиск   
              
 www.samag.ru    Web  0 товаров , сумма 0 руб.
E-mail
Пароль  
 Запомнить меня
Регистрация | Забыли пароль?
Журнал "Системный администратор"
Журнал «БИТ»
Наука и технологии
Подписка
Где купить
Авторам
Рекламодателям
Магазин
Архив номеров
Контакты
   

  Опросы
1001 и 1 книга  
12.02.2021г.
Просмотров: 9655
Комментарии: 8
Коротко о корпусе. Как выбрать системный блок под конкретные задачи

 Читать далее...

11.02.2021г.
Просмотров: 10023
Комментарии: 12
Василий Севостьянов: «Как безболезненно перейти с одного продукта на другой»

 Читать далее...

20.12.2019г.
Просмотров: 17150
Комментарии: 1
Dr.Web: всё под контролем

 Читать далее...

04.12.2019г.
Просмотров: 15997
Комментарии: 13
Особенности сертификаций по этичному хакингу

 Читать далее...

28.05.2019г.
Просмотров: 16904
Комментарии: 6
Анализ вредоносных программ

 Читать далее...

Друзья сайта  

Форум системных администраторов  

sysadmins.ru

 PowerShell: работа с Active Directory

Архив номеров / 2014 / Выпуск №1-2 (134-135) / PowerShell: работа с Active Directory

Рубрика: Разработка /  Полезные советы

Иван Коробко ИВАН КОРОБКО, заместитель руководителя центра развития информационных систем ОАО «Издательство «Просвещение», ivkorobko@gmail.com

PowerShell: работа с Active Directory

Управление группами безопасности в каталоге Active Directory. Рассмотрим как простые операции с группами: создание, поиск групп, чтение свойств, так и сложные: копирование списков безопасности

Создание группы безопасности

# Название создаваемой группы

$GroupName="..."

# Путь к контейнеру, в котором будет создана группа

$objOU=[ADSI]"LDAP://OU=...,DC=test,DC=domain,DC=ru"

$objGroup = $objOU.Create("group", "CN=" + $GroupName)

$objGroup.Put("sAMAccountName", $GroupName)

$objGroup.SetInfo()

Комментарий

Для создания группы безопасности в каталоге Active Directory необходимо знать путь к контейнеру, в котором будет создана группа и название самой группы. По умолчанию создается Global Security группа (groupType=-2147483646).

Изменение типа группы

$objS=[ADSISearcher]''
$objS.Filter="(&(objectclass=group))"
$objS.SearchRoot=[ADSI]''
$result=$objS.FindAll()

$result |% {
if (([ADSI]$_.path).isCriticalSystemObject -eq $TRUE) {}
else
{
$tempObj=[ADSI]$_.path
$tempObj.put("grouptype","-2147483640")
$tempObj.setinfo()
Write-Host $tempObj.name
}
}

Комментарий

В сценарии выполняется поиск групп безопасности в заданном контейнере, в данном случае во всем каталоге Active Directory. Изменение типа безопасности групп на Universal Security (groupType=-2147483640). В таблице 1 приведены значения, соответствующие типу и области применения группы.

Таблица 1. Характеристики безопасности группы

Тип Значение Тип Значение
Global Security Group -2147483646 Global Distribution Group 2
Local Security Group -2147483644 Local Distribution Group 3
Universal Security Group -2147483640 Universal Distribution Group 8
BuildIn Group -2147483643    

Поиск группы безопасности по имени

$nameGrp = "grp"

$obj=[ADSISearcher]""

$obj.SearchRoot = [ADSI]""

$obj.Filter = "(&(objectclass=group)(name=$nameGrp))"

$objFrom = $obj.FindOne().getdirectoryentry().path

$obj = [ADSI]$objFrom

$obj.member

Комментарий

Поиск группы безопасности осуществляется с помощью провайдера [ADSISearcher], доступного PowerShell 2.0. В качестве точки входа указывается корневая папка текущего домена. Поиск осуществляется по типу объекта и имени.

Определение членства пользователя в группах безопасности

$group='...'

$obj=[adsisearcher]""

$obj.SearchRoot=[ADSI]''

$obj.Filter=("(&(objectclass=group)(name={0}))" -f $group)

$rez=$obj.FindOne()

$el=[ADSI]$rez.path

$tmp=""

$el.member |% {

$k=[ADSI]("LDAP://{0}" -f $_)

$tmp+=$k.name+[char]13

}

$tmp| Out-File -FilePath grp_users.txt -Encoding Unicode

Комментарий

Выполняются поиск группы по имени и чтение списка пользователей (.member) в пределах всего домена. Для удобства данные выводятся в текстовый файл в кодировке Unicode.

Добавление пользователей в группу безопасности

$obj=[ADSISearcher]""

$obj.SearchRoot=[ADSI]""

$obj.Filter="(&(objectclass=person)(mail=*@domain.ru)(userAccountControl=512))" #(userAccountControl=512)

$obj.Sort.PropertyName="samaccountname"

$results=$obj.FindAll()

$results.count

ForEach ($result in $results)

{

$username=([ADSI]$result.path).distinguishedName

$objS = [ADSI]"LDAP://CN=test,DC=domain,DC=test,DC=ru"

$objs.PutEx(3,"member",@($UserName))

$objs.setinfo()

}

Комментарий

Осуществляется формирование списка пользователей по критерию (имеют почту, включены), который помещается поэлементно в группу безопасности test, расположенную в корне домена test.prosv.ru.

Копирование членов группы безопасности между двумя группами

$objFrom = [ADSI]"LDAP://CN=Grp1,DC=domain,DC=test,DC=ru"

$objFrom.member

$objTo = [ADSI]"LDAP://CN=Grp2,DC=domain,DC=test,DC=ru"

$objFrom.member |% {

$objTo.PutEx(3,"member",@([string]$_))

$objTo.setinfo()

}

Комментарий

Выполняется копирование членов группы grp1 в grp2 с предварительной очисткой списка в группе grp2. Поиск групп осуществляется в каталоге Active Directory по именам в пределах всего каталога.

Копирование списка групп безопасности между двумя пользователями

$objFrom = [ADSI]"LDAP://CN=User1,DC=domain,DC=test,DC=ru"

$objFrom.memberof

$objTo = [ADSI]"LDAP://CN=User2,DC=domain,DC=test,DC=ru"

$objFrom.memberof |% {

$mObj = [ADSI]"LDAP://$_"

$mObj

[string]($objTo.path)

$mObj.PutEx(3,"member",@([string]($objTo.path).replace("LDAP://","")))

$mobj.setinfo()

}

Комментарий

На первом этапе осуществляется формирование списка групп пользователя user1, затем – обращение к учетной записи второго пользователя – user2 – с последующей заменой существующего списка пользователей новым.


Комментарии отсутствуют

Добавить комментарий

Комментарии могут оставлять только зарегистрированные пользователи

               Copyright © Системный администратор

Яндекс.Метрика
Tel.: (499) 277-12-41
Fax: (499) 277-12-45
E-mail: sa@samag.ru