AD Gruppen zur Dokumentation exportieren

[cbarth 10]

Hallo MCSEBoard,

ich müsste wegen einer Prüfung all unserer AD Gruppen exportieren. Ich hab das mit dem Jose AD Tool gemacht aber das zeigt leider nicht an, wenn ein User in der Gruppe deaktiviert ist und so erscheinen ziemlich viele User in der Doku die eigentlich schon keinen Zugriff mehr haben.

Kennt jemand vielleicht ein Tool was das kann?

[Daim 12]

Buenas tardes,

 

versuche es mal hiermit:

 

VBScript program demonstrating the use of an efficient IsMember function to test for group membership for a single user or computer

[NilsK 2.781]

Moin,

 

wenn ich es richtig sehe, stellt das Skript von Richard L. Mueller diese Information auch nicht dar.

 

Genau betrachtet, lässt sich diese Information auch nur mit größerem Aufwand darstellen, denn inaktive User können deaktiviert, gesperrt oder abgelaufen sein, und diese Informationen sind auf unterschiedliche Weise in AD gespeichert. José gibt diese Information für Userobjekte in v2.x aus, allerdings nicht bei der Liste der Gruppenmitglieder. Je nach Anzahl der Objekte dürfte es aber ein überschaubarer Aufwand sein, die inaktiven Benutzer in der José-Gruppenliste manuell zu markieren.

 

Wenn das nicht reicht, könnte man die Techniken, die José nutzt, um den Status eines Benutzerobjekts herauszufinden, in einem separaten Skript nutzen, um sie bei der Auswertung der Gruppenmitglieder einzusetzen.

 

Gruß, Nils

[cbarth 10]

Hallo,

ja mit dem José 2.1 arbeite ich. Das Skript von Richard L. Mueller zeigt die Daten leider wirklich nicht an.

Es geht bei mir um ca. 800 Gruppen da will ich nicht händisch rumfummeln also werde ich unsere Prüfer leider vertrösten müssen.

Trotzdem Danke für eure Unterstützung!

Gruß

Carsten

[olc 18]

Hi Carsten,

 

ich stelle mir gerade die Frage, ob es nicht sinnvoller wäre, die Benutzer als "konstante Größe" im Export zu verwenden, anstatt der Gruppen.

 

Hintergrund für diese Überlegung ist, daß ein Benutzer Mitglied in diversen Gruppen sein kann - also würde ein Benutzer auch immer wieder im Export jeder Gruppe inklusive den Eigenschaften "disabled", "expired" etc. mit angezeigt werden.

 

Du kannst aus "Benutzersicht" eine Aufstellung recht schnell mit den Quest AD PowerShell Addons realisieren:

 

get-qaduser | format-list sAMAccountName, AccountExpires, AccountIsDisabled, AccountIsLockedOut, MemberOf

 

Wenn Du trotzdem die Gruppen inklusive Ihrer Mitglieder und deren Eigenschaften exportieren möchtest, müßte man ein wenig mit der PowerShell scripten. Aber wie gesagt - der "andere" Weg macht meines Erachtens mehr Sinn.

 

Viele Grüße

olc