Membuat Grup Dinamis dalam Direktori Aktif dengan pengguna dari OU

Saya ingin membuat grup dinamis dengan pengguna dari OU tertentu di Direktori Aktif saya. Saya dapat melakukan ini dengan sempurna menggunakan Daftar Distribusi Dinamis Exchange, tetapi tentu saja, Ex DDL hanya untuk surat.

Ada cara untuk membuat ini? Saya telah menemukan beberapa panduan menggunakan System Center untuk menangani ini, tetapi System Center bukanlah suatu pilihan.

Terima kasih sebelumnya,

Tidak ada yang namanya Grup Keamanan Dinamis di Direktori Aktif, hanya grup Distribusi Dinamis.

Untuk mencapai ini, saya pikir opsi yang paling mungkin adalah memiliki skrip Powershell yang menentukan siapa yang diberi OU dan memperbarui grup keamanan yang sesuai, mungkin seperti ini:

Import-Module ActiveDirectory
$groupname = PseudoDynamicGroup
$users = Get-ADUser -Filter * -SearchBase "ou=desiredUsers,dc=domain,dc=tld"
foreach($user in $users)
{
  Add-ADGroupMember -Identity $groupname -Member $user.samaccountname -ErrorAction SilentlyContinue
}
$members = Get-ADGroupMember -Identity $groupname
foreach($member in $members)
{
  if($member.distinguishedname -notlike "*ou=desiredUsers,dc=domain,dc=tld*")
  {
    Remove-ADGroupMember -Identity $groupname -Member $member.samaccountname
  }
}

Saya menjawab pertanyaan saya sendiri. Dengan ide-ide PowerShell dari Mathias saya telah menemukan ini di internet:

https://github.com/davegreen/shadowGroupSync

fitur

• Sinkronkan objek pengguna atau komputer dari satu atau lebih OU ke satu grup.
• Kemampuan untuk menyaring objek yang termasuk dalam grup bayangan menggunakan Filter Direktori PowerShell Active.
• Kemampuan untuk memilih jenis grup bayangan (Keamanan / Distribusi).

The blog penulis mengandung informasi tambahan tentang desain dan motif untuk alat.

Ini bisa dilakukan dengan Adaxes. Secara teknis itu akan secara dinamis memperbarui keanggotaan grup setelah pengguna diperbarui / dipindahkan. Berikut ini contoh cara mempertahankan keanggotaan grup berdasarkan atribut Departemen, tetapi sangat mudah untuk memodifikasinya untuk melakukan hal yang sama berdasarkan OU. http://www.adaxes.com/tutorials_AutomatingDailyTasks_AddUsersToGroupsByDepartment.htm

Saya juga mencari cara untuk membuat grup keamanan dinamis di Active Directory, dan sampai pada kesimpulan sebagai Mathias. Solusi saya tidak seanggun miliknya, saya menggunakan skrip PowerShell yang dijadwalkan untuk menghapus semua pengguna dari grup, dan kemudian mengisinya dengan para pengguna di OU. Selain itu saya memastikan bahwa sub-OUs grup ditambahkan ke grup keamanan OU induk di mana ia dipasang.

import-module ActiveDirectory
Get-ADGroupMember OU_GroupName | % { Remove-ADGroupMember 'OU_GroupName' -Members $_ -Confirm:$false}
Get-ADUser -SearchBase 'OU=OUName,OU=ParentOUName,DC=DomainName,DC=TopDomainName' -Searchscope 1 -Filter * | % { Add-ADGroupMember 'OU_GroupName' -Members $_ }
Add-ADGroupMember -Identity "OU_ParentName" -Members "OU_ChildOneName", "OU_ChildTwoName", "OU_ChildThreeName"

Tidak yakin apakah ini berskala baik di perusahaan besar, tetapi skrip hanya menggunakan beberapa menit di 300 perusahaan pengguna kami.

Cara termudah adalah dengan menggunakan DynamicGroup. http://www.firstattribute.com/en/active-directory/ad-automation/dynamic-groups/

Kami menjalankannya di berbagai lingkungan setelah migrasi dari Novell ke Active Directory.

Ini adalah perangkat lunak untuk secara otomatis membuat grup OU, grup departemen dan sebagainya. Cukup buat filter dan itu saja.

Ke pernyataan yang ditinggalkan oleh anggota lain. Jika Anda tidak menjalankan ini dari Kontroler Domain, Anda harus menyediakan entri statis dengan mengganti $ domainController atau Anda dapat menambahkan yang lain, diikuti oleh $ DomainController dan meneruskan info itu.

Untuk menambahkan pengguna ke grup

Function AddUserToGroup($Group, $User, $DomainController)
{
 if(!(Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Add-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return  "The user: $User is already in the $group"
 }
}

Untuk menghapus pengguna, Anda dapat melakukan hal yang sama.

Function RemoveUserFromGroup($Group, $User, $DomainController)
{
 if((Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Remove-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return "The user: $User is not a member of $group"
 }
}

Sekarang untuk menggunakan ini, Anda dapat melakukan ini ...

$Users = Get-Aduser -Filter *
Foreach($user in $users)
{
  AddUserToGroup "SomeGroup" $user.name "ServerName"  
}

atau

Akan lebih baik untuk memiliki pengguna yang dinonaktifkan OU atau sesuatu di mana ini dapat terjadi atau jika Anda beralih OU seperti situs atau grup

$Users = Get-Aduser -Filter * 
Foreach($user in $users)
{
  RemoveUserToGroup "SomeGroup" $user.name "ServerName"  
}