Creazione di un gruppo dinamico in Active Directory con utenti di un'unità organizzativa

Vorrei creare un gruppo dinamico con utenti di un'unità organizzativa specifica nel mio Active Directory. Posso farlo perfettamente usando Exchange Dynamic Distribution List, ma ovviamente gli Ex DDL sono solo per posta.

C'è un modo per creare questo? Ho trovato alcune guide che usano System Center per gestirlo, ma System Center non è un'opzione.

Grazie in anticipo,

Non esiste un gruppo di sicurezza dinamico in Active Directory, ma solo gruppi di distribuzione dinamica.

A tale scopo, penso che l'opzione più praticabile sarebbe quella di avere uno script Powershell che determini chi si trova nell'unità organizzativa fornita e aggiorni il gruppo di sicurezza di conseguenza, forse in questo modo:

Import-Module ActiveDirectory
$groupname = PseudoDynamicGroup
$users = Get-ADUser -Filter * -SearchBase "ou=desiredUsers,dc=domain,dc=tld"
foreach($user in $users)
{
  Add-ADGroupMember -Identity $groupname -Member $user.samaccountname -ErrorAction SilentlyContinue
}
$members = Get-ADGroupMember -Identity $groupname
foreach($member in $members)
{
  if($member.distinguishedname -notlike "*ou=desiredUsers,dc=domain,dc=tld*")
  {
    Remove-ADGroupMember -Identity $groupname -Member $member.samaccountname
  }
}

Sto rispondendo alla mia domanda. Con le idee PowerShell di Mathias l'ho trovato su Internet:

https://github.com/davegreen/shadowGroupSync

Caratteristiche

• Sincronizza oggetti utente o computer da una o più unità organizzative a un singolo gruppo.
• Possibilità di filtrare gli oggetti inclusi nel gruppo ombra mediante il filtro Active Directory di PowerShell.
• Possibilità di scegliere il tipo di gruppo ombra (Sicurezza / Distribuzione).

Il blog dell'autore contiene informazioni aggiuntive sul design e sui motivi dello strumento.

Questo può essere fatto con Adaxes. Tecnicamente aggiornerà in modo dinamico l'appartenenza al gruppo una volta che gli utenti vengono aggiornati / spostati. Ecco un esempio su come mantenere automaticamente l'appartenenza al gruppo in base all'attributo Department, ma è molto semplice modificarlo per fare la stessa cosa in base all'unità organizzativa. http://www.adaxes.com/tutorials_AutomatingDailyTasks_AddUsersToGroupsByDepartment.htm

Ho anche cercato un modo per creare gruppi di sicurezza dinamici in Active Directory e sono giunto alla conclusione come Mathias. La mia soluzione non era elegante come la sua, uso uno script PowerShell pianificato per rimuovere tutti gli utenti dai gruppi e quindi riempirli con gli utenti nell'unità organizzativa. Inoltre, mi sono assicurato che i gruppi di unità organizzative secondarie venissero aggiunti al gruppo di sicurezza delle unità organizzative principali in cui si inseriva.

import-module ActiveDirectory
Get-ADGroupMember OU_GroupName | % { Remove-ADGroupMember 'OU_GroupName' -Members $_ -Confirm:$false}
Get-ADUser -SearchBase 'OU=OUName,OU=ParentOUName,DC=DomainName,DC=TopDomainName' -Searchscope 1 -Filter * | % { Add-ADGroupMember 'OU_GroupName' -Members $_ }
Add-ADGroupMember -Identity "OU_ParentName" -Members "OU_ChildOneName", "OU_ChildTwoName", "OU_ChildThreeName"

Non sono sicuro se questo si ridimensiona bene in una grande azienda, ma lo script usa solo pochi minuti nella nostra compagnia di 300 utenti.

Il modo più semplice è utilizzare DynamicGroup. http://www.firstattribute.com/en/active-directory/ad-automation/dynamic-groups/

Lo stiamo eseguendo in vari ambienti dopo una migrazione da Novell ad Active Directory.

È un software per creare automaticamente gruppi di unità organizzative, gruppi di dipartimenti e così via. Basta creare il filtro e il gioco è fatto.

Alla dichiarazione lasciata da un altro membro. Se non lo esegui da un controller di dominio, dovrai fornire una voce statica sostituendo $ domainController oppure puoi aggiungerne un'altra, seguita da $ DomainController e passare tali informazioni.

Per aggiungere un utente a un gruppo

Function AddUserToGroup($Group, $User, $DomainController)
{
 if(!(Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Add-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return  "The user: $User is already in the $group"
 }
}

Per rimuovere un utente puoi fare la stessa cosa.

Function RemoveUserFromGroup($Group, $User, $DomainController)
{
 if((Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Remove-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return "The user: $User is not a member of $group"
 }
}

Ora per usare questo puoi farlo ...

$Users = Get-Aduser -Filter *
Foreach($user in $users)
{
  AddUserToGroup "SomeGroup" $user.name "ServerName"  
}

o

Sarebbe meglio avere un'unità organizzativa per utenti disabili o qualcosa in cui ciò può avvenire o se si cambia unità organizzativa come sito o gruppo

$Users = Get-Aduser -Filter * 
Foreach($user in $users)
{
  RemoveUserToGroup "SomeGroup" $user.name "ServerName"  
}