Chúng tôi hạn chế hoạt động của exe trên toàn tổ chức. Nhưng dựa trên các biện minh và phê duyệt, chúng tôi thêm người dùng vào các nhóm AD (cụ thể) trong 24 giờ.
Hiện tại quá trình loại bỏ người dùng khỏi các nhóm AD đó sau X giờ là thủ công. Tôi đang cố gắng tự động hóa nó trong một số thời trang. Nhưng tôi đã tự hỏi nếu có bất kỳ cách xử lý riêng nào trong AD 2003. Viết một kịch bản (powershell / vbs) có phải là cách duy nhất để xử lý việc này không?
Câu trả lời:
Giả sử tất cả các Bộ điều khiển miền của bạn là Windows Server 2003 trở lên, bạn có thể thực hiện việc này với chức năng đối tượng động của Active Directory mà không cần bất kỳ tập lệnh nào.
Giả sử tài khoản người dùng, "Bob", cần nằm trong nhóm "Kế toán" trong 24 giờ.
Tạo nhóm "Bob trong Kế toán 24 giờ" và chỉ định entry-TTLtrong 24 giờ (thời lượng bạn muốn nhóm vẫn ở trong Active Directory) tại thời điểm tạo.
Thêm "Bob trong kế toán 24 giờ" với tư cách là thành viên của nhóm "Kế toán"
Thêm tài khoản người dùng "Bob" làm thành viên của nhóm "Bob trong kế toán 24 giờ"
Sau lần đăng nhập tiếp theo của tài khoản người dùng "Bob", nó sẽ là thành viên của nhóm "Kế toán" thông qua thành viên nhóm lồng nhau của nhóm "Bob trong Kế toán 24 giờ" vào nhóm "Kế toán". Vào cuối 24 giờ, tất cả các bộ điều khiển miền sẽ thu gom rác nhóm "Bob trong Kế toán 24 giờ" và "Bob" sẽ không còn là thành viên của "Kế toán".
Bí quyết là các đối tượng không động có thể được chuyển đổi thành động sau khi tạo. Tuy nhiên, việc sử dụng lồng nhóm sẽ giúp bạn vượt qua giới hạn đó trong trường hợp này.
Bạn sẽ cần sử dụng một công cụ khác ngoài "Người dùng và máy tính Active Directory" để tạo nhóm vì bạn sẽ cần đặt entry-TTLthời điểm tạo nhóm. Tập lệnh trong mục nhập blog này có thể là nơi bắt đầu (được tạo để tạo đối tượng Người dùng) hoặc, thay vào đó, bạn chỉ có thể sử dụng ldifdehoặc csvdethực hiện việc tạo.
Bạn có thể xử lý việc này theo một số cách, không cách nào có nguồn gốc từ AD:
Viết một kịch bản và đặt nó trong lịch trình nhiệm vụ. Yêu cầu nó truy vấn tệp văn bản hoặc CSV ở đâu đó trên mạng với danh sách hiện tại. Có nó loại bỏ những người không có trong danh sách đó trong thời gian chạy.
Sử dụng một cái gì đó như System Center Dàn nhạc để tạo một cuốn sổ tay để thêm người dùng vào nhóm và xóa chúng sau X giờ tự động.
Tạo một lời nhắc Outlook để đưa mọi người ra một cách thủ công :)