Active-Directory-Benutzer und -Gruppen mit PowerShell verwalten, ohne das gesamte Verzeichnis zu durchsuchen

Ziel

Benutzer- und Gruppenobjekte in Active Directory mit dem ActiveDirectory-Modul in PowerShell lesen, anlegen und entsperren. Die Aufrufe werden dabei so eingegrenzt, dass sie in einem grossen Verzeichnis nicht zu einem unbegrenzten Scan werden.

Voraussetzungen

Das PowerShell-Modul ActiveDirectory (aus RSAT oder auf einem Domänencontroller installiert); Leserechte auf die Ziel-OU sowie Account Operators oder delegierte Schreibrechte, um Konten anzulegen oder zu entsperren.

Schritte

1. Mit einem echten Filter abfragen und nur die benötigten Eigenschaften laden: Get-ADUser -Filter "Department -eq 'Finance'" -Properties Mail,Title -SearchBase "OU=Users,DC=contoso,DC=com". Die Referenz des Moduls zeigt Get-ADUser -Filter * als Form, die alles trifft. Für eine kleine OU ist das nützlich, in einem Verzeichnis mit zehntausenden Objekten werden dadurch aber jedes Benutzerobjekt und alle Standardeigenschaften über das Netzwerk übertragen. Deshalb stets -SearchBase und einen spezifischen -Filter angeben, bei komplexen Bedingungen alternativ -LDAPFilter.
2. Ein Konto nicht interaktiv anlegen, wobei das Passwort als SecureString übergeben wird: $pw = ConvertTo-SecureString "TempP@ssw0rd!" -AsPlainText -Force; New-ADUser -Name "Jane Doe" -SamAccountName jdoe -UserPrincipalName jdoe@contoso.com -AccountPassword $pw -Enabled $true -ChangePasswordAtLogon $true. Das Passwort-Literal dient nur der Veranschaulichung, da es in der Historie und in Transkripten landet; in echten Läufen das Passwort aus einem Secret Store lesen. Die Variable nicht $pwd nennen, denn das ist die automatische Variable von PowerShell für den aktuellen Pfad. Verletzt das Passwort die Domänenrichtlinie, wird das Konto zwar angelegt, bleibt aber deaktiviert.
3. Das neue Konto zu einer Gruppe hinzufügen: Add-ADGroupMember -Identity "Finance Team" -Members jdoe.
4. Gesperrte oder inaktive Konten in der gesamten Domäne finden: Search-ADAccount -LockedOut und Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly; beide akzeptieren -SearchBase, um die Suche einzugrenzen. Die Inaktivität wird anhand des replizierten lastLogonTimestamp beurteilt, der den tatsächlichen Anmeldungen um bis zu etwa zwei Wochen hinterherhinken kann.
5. Eine Sperrung aufheben: Unlock-ADAccount -Identity jdoe.

Erwartetes Ergebnis

Get-ADUser liefert nur die eingegrenzte Ergebnismenge. Das neue Konto kann sich authentifizieren und wird bei der ersten Anmeldung aufgefordert, das Passwort zu ändern. Nach Unlock-ADAccount führt Search-ADAccount -LockedOut das Konto nicht mehr auf.

Grenzen und Prüfbasis

Laut Dokumentation erwartet -AccountPassword bei New-ADUser einen SecureString und keinen gewöhnlichen String; die Übergabe von Klartext scheitert bereits bei der Parameterbindung. Um das Anlegen eines Kontos rückgängig zu machen, dient Remove-ADUser -Identity jdoe -Confirm:$false. Ein gelöschtes Konto lässt sich mit seiner SID und seinen Mitgliedschaften nur dann über Restore-ADObject wiederherstellen, wenn der AD-Papierkorb (Recycle Bin) vor dem Löschen aktiviert war; ein Export seiner Attribute mit Export-Clixml ist nur eine Referenz, denn beim Neuanlegen daraus entsteht eine neue SID. Keine dieser Operationen erfordert einen Neustart. Änderungen müssen zuerst auf den Domänencontroller repliziert werden, den der Client verwendet. Änderungen der Gruppenmitgliedschaft gelangen erst bei der nächsten Anmeldung in das Zugriffstoken eines Benutzers (bei Netzwerkressourcen nach dem Löschen und erneuten Beziehen der Kerberos-Tickets), nicht jedoch in eine bereits offene Sitzung.