Zu dem Artikel “Die OU eines AD-Users in ein Attribut kopieren” gibt es ein alternatives Verfahren, das die Eigenheiten der PowerShell besser ausnutzt. Wenig bekannt ist, dass die Pipeline-Technik der PowerShell meist viel schneller ist. Die folgende Code-Variante dürfte daher in großen Umgebungen schneller fertig sein. [regex]$regex = „(?:,)(?’name'((CN|OU=).*))“ Get-ADUser -Filter * -SearchBase „OU=Benutzer,DC=ad2016,DC=faq-o-matic,DC=net“ | […]

In einer AD-Migration bei einem Kunden sollten die Quell-OUs der Userkonten in einem freien Attribut gespeichert werden, um nach der Migration bei den Zielobjekten den ursprünglichen Ablageort feststellen zu können. Das folgende PowerShell-Skript erfüllte in der Quelldomäne die Aufgabe. $Users = Get-ADUser -Filter * -SearchBase ‚OU=Benutzer,DC=ad2016,DC=faq-o-matic,DC=net‘ foreach ($Account in $Users) { $Parent = (([adsi]“LDAP://$($Account.DistinguishedName)“).Parent).Substring(7) $Account.Name […]

Active Directory ermöglicht es, Gruppen zu verschachteln. So kann ein Benutzer Mitglied in Gruppe A sein, die selbst Mitglied von Gruppe B ist. Effektiv hat der Benutzer dann beide Gruppenmitgliedschaften, auch wenn er nur einer der Gruppen direkt angehört. Problematisch kann es sein, solche Verschachtelungen nachzuvollziehen – die Mitgliederliste von Gruppe B würde hier nur […]

Im Active Directory gibt es eine Möglichkeit einen Account so zu verbergen, dass selbst Domänen Administratoren diesen Account nicht sehen oder löschen können. Dennoch ist dieser Account aber gültig und vollständig nutzbar. Wie genau ein „Versteckter“ Account erstellt wird, würde den Rahmen dieses Beitrages sprengen. Daher möchte ich mich hier auf das Auffinden solcher Accounts […]

In einer Support-Situation stellte sich die Frage, welche Felder eigentlich übernommen werden, wenn man ein Benutzerobjekt kopiert. Dazu muss man wissen, dass dieser Kopiervorgang nicht durch Active Directory selbst erfolgt, sondern durch das Verwaltungswerkzeug. Dieses sollte sich dabei an die Vorgaben des AD-Schemas halten, denn dort ist hinterlegt, welche Attribute “kopierbar” sind. Je nachdem, mit […]

Dieser Artikel erschien zuerst auf dem Blog Consulting-Lounge.de. Ein PowerShell-Skript, das wir jetzt in der TechNet Gallery veröffentlicht haben, kann Active-Directory-Gruppen ausfindig machen, die Mitglied von sich selbst sind. Die Beschreibung mag erstmal anmuten, als wäre das selten und unmöglich, aber auch Großunternehmen haben mit diesem Phänomen hin und wieder ihre Problemchen. Häufig können Anwendungen […]

Es ist unter Admins wenig bekannt, dass auch in einem Active Directory modernster Bauweise noch die alten simplen Admin-Kommandos aus den Zeiten von Windows NT funktionieren. Hier ein Beispiel. Die Konten-Einstellungen der Domäne erhält man in einem CMD-Fenster mit dem Kommando net accounts /domain Dazu sind übrigens nicht einmal Adminrechte notwendig, das darf jeder Benutzer […]

Beim Erzeugen von Benutzerkonten in Active Directory mit einem Skript passiert es manchmal, dass dort die Option “Kennwort nicht erforderlich” aktiviert ist. Das passiert meist versehentlich, wenn ein Skript die nötigen Konten-Attribute im Feld userAccountControl nicht richtig setzt. Dort muss das sechsthöchste Bit gesetzt sein, das den Dezimalwert 32 repräsentiert. Mit zwei Skripten lassen sich […]

Dieser Artikel erschien zuerst auf Ralfs Blog. Eine LDAP-Authentifizierung oder eine Namensauflösung über LDAP funktioniert in zwei Schritten: Es erfolgt eine subtree-Suche unterhalb der Searchbase nach (uid=loginname). Als Ergebnis wird der komplette DN des gefundenen (und hoffentlich eindeutigen) Objektes zurückgeliefert. Anschließend erfolgt eine Abfrage der benötigten Attribute dieses Objektes bzw. bei LDAP-Login der Versuch eines […]

Seit Urzeiten gibt es in Exchange-Umgebungen eine Reihe von Objektattributen, in denen man bei Bedarf eigene Werte ablegen kann. Diese “Custom Attributes” oder auch “Extension Attributes” sind seit Windows 2000 auch Teil des Active-Directory-Schemas. Es gibt 15 dieser Attribute, die von 1 bis 15 durchnummeriert sind (extensionAttribute1 bis extensionAttribute15). Über die Jahre sind diese Attribute […]