PowerShell: работа с Active Directory

 ИВАН КОРОБКО, заместитель руководителя центра развития информационных систем ОАО «Издательство «Просвещение», ivkorobko@gmail.com

PowerShell: работа с Active Directory

Управление группами безопасности в каталоге Active Directory. Рассмотрим как простые операции с группами: создание, поиск групп, чтение свойств, так и сложные: копирование списков безопасности

Создание группы безопасности

# Название создаваемой группы

$GroupName="..."

# Путь к контейнеру, в котором будет создана группа

$objOU=[ADSI]"LDAP://OU=...,DC=test,DC=domain,DC=ru"

$objGroup = $objOU.Create("group", "CN=" + $GroupName)

$objGroup.Put("sAMAccountName", $GroupName)

$objGroup.SetInfo()

Комментарий

Для создания группы безопасности в каталоге Active Directory необходимо знать путь к контейнеру, в котором будет создана группа и название самой группы. По умолчанию создается Global Security группа (groupType=-2147483646).

Изменение типа группы

$objS=[ADSISearcher]''
$objS.Filter="(&(objectclass=group))"
$objS.SearchRoot=[ADSI]''
$result=$objS.FindAll()

$result |% {
if (([ADSI]$_.path).isCriticalSystemObject -eq $TRUE) {}
else
{
$tempObj=[ADSI]$_.path
$tempObj.put("grouptype","-2147483640")
$tempObj.setinfo()
Write-Host $tempObj.name
}
}

Комментарий

В сценарии выполняется поиск групп безопасности в заданном контейнере, в данном случае во всем каталоге Active Directory. Изменение типа безопасности групп на Universal Security (groupType=-2147483640). В таблице 1 приведены значения, соответствующие типу и области применения группы.

Таблица 1. Характеристики безопасности группы

Поиск группы безопасности по имени

$nameGrp = "grp"

$obj=[ADSISearcher]""

$obj.SearchRoot = [ADSI]""

$obj.Filter = "(&(objectclass=group)(name=$nameGrp))"

$objFrom = $obj.FindOne().getdirectoryentry().path

$obj = [ADSI]$objFrom

$obj.member

Комментарий

Поиск группы безопасности осуществляется с помощью провайдера [ADSISearcher], доступного PowerShell 2.0. В качестве точки входа указывается корневая папка текущего домена. Поиск осуществляется по типу объекта и имени.

Определение членства пользователя в группах безопасности

$group='...'

$obj=[adsisearcher]""

$obj.SearchRoot=[ADSI]''

$obj.Filter=("(&(objectclass=group)(name={0}))" -f $group)

$rez=$obj.FindOne()

$el=[ADSI]$rez.path

$tmp=""

$el.member |% {

$k=[ADSI]("LDAP://{0}" -f $_)

$tmp+=$k.name+[char]13

}

$tmp| Out-File -FilePath grp_users.txt -Encoding Unicode

Комментарий

Выполняются поиск группы по имени и чтение списка пользователей (.member) в пределах всего домена. Для удобства данные выводятся в текстовый файл в кодировке Unicode.

Добавление пользователей в группу безопасности

$obj=[ADSISearcher]""

$obj.SearchRoot=[ADSI]""

$obj.Filter="(&(objectclass=person)(mail=*@domain.ru)(userAccountControl=512))" #(userAccountControl=512)

$obj.Sort.PropertyName="samaccountname"

$results=$obj.FindAll()

$results.count

ForEach ($result in $results)

{

$username=([ADSI]$result.path).distinguishedName

$objS = [ADSI]"LDAP://CN=test,DC=domain,DC=test,DC=ru"

$objs.PutEx(3,"member",@($UserName))

$objs.setinfo()

}

Комментарий

Осуществляется формирование списка пользователей по критерию (имеют почту, включены), который помещается поэлементно в группу безопасности test, расположенную в корне домена test.prosv.ru.

Копирование членов группы безопасности между двумя группами

$objFrom = [ADSI]"LDAP://CN=Grp1,DC=domain,DC=test,DC=ru"

$objFrom.member

$objTo = [ADSI]"LDAP://CN=Grp2,DC=domain,DC=test,DC=ru"

$objFrom.member |% {

$objTo.PutEx(3,"member",@([string]$_))

$objTo.setinfo()

}

Комментарий

Выполняется копирование членов группы grp1 в grp2 с предварительной очисткой списка в группе grp2. Поиск групп осуществляется в каталоге Active Directory по именам в пределах всего каталога.

Копирование списка групп безопасности между двумя пользователями

$objFrom = [ADSI]"LDAP://CN=User1,DC=domain,DC=test,DC=ru"

$objFrom.memberof

$objTo = [ADSI]"LDAP://CN=User2,DC=domain,DC=test,DC=ru"

$objFrom.memberof |% {

$mObj = [ADSI]"LDAP://$_"

$mObj

[string]($objTo.path)

$mObj.PutEx(3,"member",@([string]($objTo.path).replace("LDAP://","")))

$mobj.setinfo()

}

Комментарий

На первом этапе осуществляется формирование списка групп пользователя user1, затем – обращение к учетной записи второго пользователя – user2 – с последующей заменой существующего списка пользователей новым.

Комментарии могут оставлять только зарегистрированные пользователи