Erstellen einer dynamischen Gruppe in Active Directory mit Benutzern aus einer Organisationseinheit

Ich möchte eine dynamische Gruppe mit Benutzern aus einer bestimmten Organisationseinheit in meinem Active Directory erstellen. Ich kann dies perfekt mit der dynamischen Exchange-Verteilerliste tun, aber natürlich sind Ex-DDLs nur für E-Mails.

Gibt es eine Möglichkeit, dies zu erstellen? Ich habe einige Anleitungen gefunden, die System Center verwenden, um dies zu handhaben, aber System Center ist keine Option.

Danke im Voraus,

In Active Directory gibt es keine dynamische Sicherheitsgruppe, sondern nur dynamische Verteilungsgruppen.

Um dies zu erreichen, wäre es meiner Meinung nach am sinnvollsten, ein Powershell-Skript zu haben, das bestimmt, wer sich in der angegebenen Organisationseinheit befindet, und die Sicherheitsgruppe entsprechend zu aktualisieren, möglicherweise wie folgt:

Import-Module ActiveDirectory
$groupname = PseudoDynamicGroup
$users = Get-ADUser -Filter * -SearchBase "ou=desiredUsers,dc=domain,dc=tld"
foreach($user in $users)
{
  Add-ADGroupMember -Identity $groupname -Member $user.samaccountname -ErrorAction SilentlyContinue
}
$members = Get-ADGroupMember -Identity $groupname
foreach($member in $members)
{
  if($member.distinguishedname -notlike "*ou=desiredUsers,dc=domain,dc=tld*")
  {
    Remove-ADGroupMember -Identity $groupname -Member $member.samaccountname
  }
}

Ich beantworte meine eigene Frage. Mit den PowerShell-Ideen von Mathias habe ich Folgendes im Internet gefunden:

https://github.com/davegreen/shadowGroupSync

Eigenschaften

• Synchronisieren Sie Benutzer- oder Computerobjekte von einer oder mehreren Organisationseinheiten mit einer einzelnen Gruppe.
• Möglichkeit zum Filtern von Objekten, die in der Schattengruppe enthalten sind, mithilfe des PowerShell Active Directory-Filters.
• Möglichkeit zur Auswahl des Schattengruppentyps (Sicherheit / Verteilung).

Der Blog des Autors enthält zusätzliche Informationen zum Design und zu den Motiven des Tools.

Dies kann mit Adaxes erfolgen. Technisch wird die Gruppenmitgliedschaft dynamisch aktualisiert, sobald Benutzer aktualisiert / verschoben werden. Hier ist ein Beispiel, wie die Gruppenmitgliedschaft basierend auf dem Abteilungsattribut automatisch beibehalten wird. Es ist jedoch sehr einfach, sie zu ändern, um dasselbe basierend auf der Organisationseinheit zu tun. http://www.adaxes.com/tutorials_AutomatingDailyTasks_AddUsersToGroupsByDepartment.htm

Ich habe auch nach einer Möglichkeit gesucht, dynamische Sicherheitsgruppen in Active Directory zu erstellen, und bin als Mathias zu dem Schluss gekommen. Meine Lösung war nicht so elegant wie seine. Ich verwende ein geplantes Powershell-Skript, um alle Benutzer aus den Gruppen zu entfernen und sie dann mit den Benutzern in der Organisationseinheit zu füllen. Außerdem habe ich sichergestellt, dass die Unter-Organisationseinheiten-Gruppen zur Sicherheitsgruppe der übergeordneten Organisationseinheiten hinzugefügt wurden, in die sie passen.

import-module ActiveDirectory
Get-ADGroupMember OU_GroupName | % { Remove-ADGroupMember 'OU_GroupName' -Members $_ -Confirm:$false}
Get-ADUser -SearchBase 'OU=OUName,OU=ParentOUName,DC=DomainName,DC=TopDomainName' -Searchscope 1 -Filter * | % { Add-ADGroupMember 'OU_GroupName' -Members $_ }
Add-ADGroupMember -Identity "OU_ParentName" -Members "OU_ChildOneName", "OU_ChildTwoName", "OU_ChildThreeName"

Ich bin mir nicht sicher, ob dies in einem großen Unternehmen gut skaliert, aber das Skript benötigt in unserem Unternehmen mit 300 Benutzern nur wenige Minuten.

Am einfachsten ist es, DynamicGroup zu verwenden. http://www.firstattribute.com/de/active-directory/ad-automation/dynamic-groups/

Wir führen es in verschiedenen Umgebungen nach einer Migration von Novell zu Active Directory aus.

Es ist eine Software zum automatischen Erstellen von Organisationseinheitengruppen, Abteilungsgruppen usw. Einfach den Filter erstellen und fertig.

Zu der Aussage eines anderen Mitglieds. Wenn Sie dies nicht von einem Domänencontroller aus ausführen, müssen Sie entweder einen statischen Eintrag bereitstellen, indem Sie $ domainController ersetzen, oder Sie können einen weiteren hinzufügen, gefolgt von $ DomainController, und diese Informationen übergeben.

So fügen Sie einen Benutzer einer Gruppe hinzu

Function AddUserToGroup($Group, $User, $DomainController)
{
 if(!(Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Add-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return  "The user: $User is already in the $group"
 }
}

Um einen Benutzer zu entfernen, können Sie dasselbe tun.

Function RemoveUserFromGroup($Group, $User, $DomainController)
{
 if((Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Remove-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return "The user: $User is not a member of $group"
 }
}

Um dies zu nutzen, können Sie dies tun ...

$Users = Get-Aduser -Filter *
Foreach($user in $users)
{
  AddUserToGroup "SomeGroup" $user.name "ServerName"  
}

oder

Es ist am besten, eine Organisationseinheit für deaktivierte Benutzer zu haben oder etwas, in dem dies stattfinden kann, oder wenn Sie die Organisationseinheiten wie Site oder Gruppe wechseln

$Users = Get-Aduser -Filter * 
Foreach($user in $users)
{
  RemoveUserToGroup "SomeGroup" $user.name "ServerName"  
}