Limitiamo la gestione di exe all'interno dell'organizzazione. Ma sulla base di giustificazioni e approvazioni aggiungiamo utenti a (specifici) gruppi AD per 24 ore.
Attualmente il processo di rimozione degli utenti da quei gruppi AD dopo X ore è manuale. Sto cercando di automatizzarlo in qualche modo. Ma mi chiedevo se esiste un modo nativo di gestirlo in AD 2003. Scrivere uno script (powershell / vbs) è l'unico modo per gestirlo?
Risposte:
Supponendo che tutti i controller di dominio siano Windows Server 2003 o versione successiva, è possibile farlo con la funzionalità di oggetti dinamici di Active Directory nativa senza script.
Diciamo che un account utente, "Bob", deve essere nel gruppo "Contabilità" per 24 ore.
Creare un gruppo "Bob in Contabilità 24 ore" e specificare un gruppo entry-TTLper 24 ore (la durata in cui si desidera che il gruppo rimanga in Active Directory) al momento della creazione.
Aggiungi il "Bob in Accounting 24 Hours" come membro del gruppo "Accounting"
Aggiungi l'account utente "Bob" come membro del gruppo "Bob in Contabilità 24 ore"
Al successivo accesso dell'account utente "Bob", sarà un membro del gruppo "Accounting" tramite l'appartenenza al gruppo nidificato del gruppo "Bob in Accounting 24 Hours" nel gruppo "Accounting". Alla fine delle 24 ore tutti i controller di dominio raccoglieranno il gruppo "Bob in Accounting 24 Hours" e "Bob" non sarà più membro di "Accounting".
Il trucco è che gli oggetti non dinamici non possono essere convertiti in dinamici dopo la loro creazione. L'uso della nidificazione di gruppo, tuttavia, ti consente di aggirare quella limitazione in questa istanza.
È necessario utilizzare uno strumento diverso da "Utenti e computer di Active Directory" per creare il gruppo poiché è necessario impostare entry-TTLal momento della creazione del gruppo. Lo script in questo post di blog potrebbe essere un punto di partenza (è stato creato per creare oggetti utente) o, in alternativa, potresti semplicemente usare ldifdeo csvdeanche fare la creazione.
Puoi gestirlo in alcuni modi, nessuno è nativo di AD:
Scrivi uno script e inseriscilo nell'utilità di pianificazione. Chiedere a un file di testo o CSV da qualche parte sulla rete con l'elenco corrente. Rimozione di persone non presenti nell'elenco in fase di esecuzione.
Utilizzare qualcosa come System Center Orchestrator per creare un runbook per aggiungere utenti al gruppo e rimuoverli automaticamente dopo X ore.
Crea un promemoria per Outlook per portare le persone manualmente :)