Tạo một nhóm động trong Active Directory với người dùng từ OU

Tôi muốn tạo một nhóm động với người dùng từ một OU cụ thể trong Active Directory của tôi. Tôi có thể thực hiện điều này một cách hoàn hảo bằng cách sử dụng Danh sách phân phối động của Exchange, nhưng tất nhiên, Ex DDL chỉ dành cho thư.

Có cách nào để tạo ra cái này không? Tôi đã tìm thấy một số hướng dẫn sử dụng Trung tâm hệ thống để xử lý việc này, nhưng Trung tâm hệ thống không phải là một tùy chọn.

Cảm ơn trước,

Không có thứ gọi là Nhóm bảo mật động trong Active Directory, chỉ có các nhóm phân phối động.

Để thực hiện điều này, tôi nghĩ tùy chọn khả thi nhất sẽ là có tập lệnh Powershell xác định ai đang ở trong OU đã cho và cập nhật nhóm bảo mật tương ứng, có thể như thế này:

Import-Module ActiveDirectory
$groupname = PseudoDynamicGroup
$users = Get-ADUser -Filter * -SearchBase "ou=desiredUsers,dc=domain,dc=tld"
foreach($user in $users)
{
  Add-ADGroupMember -Identity $groupname -Member $user.samaccountname -ErrorAction SilentlyContinue
}
$members = Get-ADGroupMember -Identity $groupname
foreach($member in $members)
{
  if($member.distinguishedname -notlike "*ou=desiredUsers,dc=domain,dc=tld*")
  {
    Remove-ADGroupMember -Identity $groupname -Member $member.samaccountname
  }
}

Tôi đang trả lời câu hỏi của riêng tôi. Với các ý tưởng PowerShell của Mathias tôi đã tìm thấy điều này trên internet:

https://github.com/davegreen/shadowgroupSync

Đặc trưng

• Đồng bộ hóa các đối tượng người dùng hoặc máy tính từ một hoặc nhiều OU thành một nhóm.
• Khả năng lọc các đối tượng có trong nhóm bóng bằng Bộ lọc thư mục hoạt động PowerShell.
• Khả năng chọn loại nhóm bóng (Bảo mật / Phân phối).

Các blog của tác giả có chứa thông tin về thiết kế và động cơ cho công cụ này.

Điều này có thể được thực hiện với Adaxes. Về mặt kỹ thuật, nó sẽ tự động cập nhật thành viên nhóm sau khi người dùng được cập nhật / di chuyển. Dưới đây là một ví dụ về cách tự động duy trì tư cách thành viên nhóm dựa trên thuộc tính của Bộ, nhưng rất dễ dàng sửa đổi nó để làm điều tương tự dựa trên OU. http://www.adaxes.com/tutorials_AutomatingD DailyT task_AddUsersTo ERICByDepidor.htmlm

Tôi cũng đã tìm cách tạo các nhóm bảo mật động trong Active Directory và đi đến kết luận là Mathias. Giải pháp của tôi không thanh lịch như của anh ấy, tôi sử dụng tập lệnh powershell được lên lịch để xóa tất cả người dùng khỏi các nhóm và sau đó điền chúng với người dùng trong OU. Ngoài ra, tôi đảm bảo rằng các nhóm OU phụ được thêm vào nhóm bảo mật OU gốc nơi nó được trang bị.

import-module ActiveDirectory
Get-ADGroupMember OU_GroupName | % { Remove-ADGroupMember 'OU_GroupName' -Members $_ -Confirm:$false}
Get-ADUser -SearchBase 'OU=OUName,OU=ParentOUName,DC=DomainName,DC=TopDomainName' -Searchscope 1 -Filter * | % { Add-ADGroupMember 'OU_GroupName' -Members $_ }
Add-ADGroupMember -Identity "OU_ParentName" -Members "OU_ChildOneName", "OU_ChildTwoName", "OU_ChildThreeName"

Không chắc điều này có quy mô tốt trong một công ty lớn hay không, nhưng kịch bản chỉ sử dụng vài phút trong công ty 300 người dùng của chúng tôi.

Cách dễ nhất là sử dụng Dynamicgroup. http://www.firstattribution.com/en/active-directory/ad-automation/dynamic-groups/

Chúng tôi đang chạy nó trong nhiều môi trường khác nhau sau khi di chuyển từ Novell sang Active Directory.

Đây là một phần mềm để tự động tạo các nhóm OU, nhóm bộ phận, v.v. Chỉ cần tạo bộ lọc và đó là nó.

Để tuyên bố để lại bởi một thành viên khác. Nếu bạn không chạy cái này từ Bộ điều khiển miền, bạn sẽ cần cung cấp mục nhập tĩnh bằng cách thay thế $ domainContoder hoặc bạn có thể thêm cái khác, theo sau là $ DomainContoder và truyền thông tin đó.

Để thêm người dùng vào một nhóm

Function AddUserToGroup($Group, $User, $DomainController)
{
 if(!(Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Add-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return  "The user: $User is already in the $group"
 }
}

Để loại bỏ một người dùng, bạn có thể làm điều tương tự.

Function RemoveUserFromGroup($Group, $User, $DomainController)
{
 if((Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Remove-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return "The user: $User is not a member of $group"
 }
}

Bây giờ để sử dụng, bạn có thể làm điều này ...

$Users = Get-Aduser -Filter *
Foreach($user in $users)
{
  AddUserToGroup "SomeGroup" $user.name "ServerName"  
}

hoặc là

Tốt nhất là có một người dùng bị vô hiệu hóa OU hoặc một cái gì đó nơi điều này có thể diễn ra hoặc nếu bạn chuyển đổi OU như trang web hoặc nhóm

$Users = Get-Aduser -Filter * 
Foreach($user in $users)
{
  RemoveUserToGroup "SomeGroup" $user.name "ServerName"  
}