हुड के नीचे हेल्पडेस्क। AD में उपयोगकर्ता खाता लेखा परीक्षा

मैं सभी का स्वागत करता हूं।

केवल एक सिस्टम प्रशासक के पेशे के बारे में मेरे ज्ञान की शुरुआत में, मेरे बॉस ने मुझे एक एडी डिजाइनर के रूप में इस तरह के पेशे (या इसकी दिशा) के बारे में बताया। ये लोग डोमेन को साफ करते हैं और खातों को साफ करते हैं। जो कोई भी इस पर आया है और परेशान है, वह आपके आदेश में छींकने वाले कुछ कर्मचारी द्वारा बनाए गए खातों के अनाड़ी नामों के कारण होने वाली झुंझलाहट को समझ सकता है।
पॉवरशेल उठाते हुए, हमने उन्हें टक्कर दी!

कूड़े की जरूरत नहीं!

लब्बोलुआब यह है कि हेल्पडेस्क के लिए AD में एक विशेष इकाई बनाई गई (इसे न्यूयूजर कहते हैं) जिसमें वे नए खाते बना सकते थे (हम यहां उपयोगकर्ताओं के अधिकारों के प्रतिनिधिमंडल पर चर्चा नहीं करेंगे)।
उनका कार्य इस प्रभाग में आवश्यक रूप से नए खाते बनाना है।
मेरा कार्य आवश्यक फ़ील्ड (विशेष रूप से लॉगिन) के सही भरने को ट्रैक करना और विभागों के चारों ओर घूमना है।

यह पता चला कि लोग इस बारे में पूरी तरह से सोचना नहीं चाहते थे कि इस तरह का रिकॉर्ड बनाने के अनुरोध के साथ वे कैसे और कैसे मेरे पास भटकते रहे। कई हफ्तों तक मैंने शब्दों को खारिज कर दिया: आप खुद सब कुछ कर सकते हैं!
और अंत में मैं उनके पास पहुंचा, लेकिन यह केवल कहानी की शुरुआत थी।

नतीजतन, मुझे खातों का एक गुच्छा मिला, जिनके खाते अस्पष्ट हैं, और सबसे महत्वपूर्ण बात, यह स्पष्ट नहीं है कि उन्हें किसने बनाया है। इस सवाल पर: "यह किसने बनाया?", सभी कर्मचारियों ने एकमत से इनकार कर दिया। स्वाभाविक रूप से, मैं इन खातों को समझने के लिए उत्सुक नहीं था, और इसके बिना मेरे पास पर्याप्त था।
डोमेन प्रबंधक के रूप में, मुझे तानिया और गोशाला के लिए बॉस को जवाब देना था।

मैंने एक अद्भुत शब्द देखा - ऑडिट।

हल करने के तरीकों

इस स्थिति से बाहर निकलने के कई रास्ते थे। एक तरफ, हर किसी के लिए लंबे समय तक मोती फेंकना और यह समझाना संभव था कि किस क्षेत्र और कैसे भरना है। दूसरी ओर, खातों के निर्माण को ट्रैक करें और, सिस्टम उल्लंघनकर्ताओं की पहचान करते हुए, उनकी नाक को अनाड़ी नामों में पोक करें।

पहली विधि ने परिणाम नहीं दिया, इसलिए मैं अपने दिल में दर्द के साथ दूसरे पर चला गया।

शुरू करने के लिए, मुझे कुछ विभागों (हमारे मामले में, न्यूयूजर फ़ोल्डर) के लिए एक ऑडिट नीति स्थापित करने और ऑडिट के लिए एक समूह जोड़ने की आवश्यकता है जिसे हम देख रहे होंगे (हम समूहों के बारे में नहीं सोचते हैं और सभी उपयोगकर्ताओं को जोड़ते हैं)।
यहां आप सक्रिय निर्देशिका डोमेन सेवाओं के ऑडिट के बारे में पढ़ सकते हैं, और यहां आपको ऑडिट को कॉन्फ़िगर करने के तरीके के बारे में चरण-दर-चरण निर्देश मिलेगा।
परिणामस्वरूप, नए उपयोगकर्ता ऑब्जेक्ट के निर्माण में ईवेंट डोमेन नियंत्रक की सुरक्षा लॉग में दिखाई देंगे।
हम कोड 5137 (कैटलॉग में किसी ऑब्जेक्ट का निर्माण) के साथ घटना में रुचि रखते हैं।

हम नियंत्रकों से जानकारी एकत्र करने के लिए आगे बढ़ते हैं। बेशक, यदि आपके पास 1 सीडी है, तो आपको बस जर्नल फ़िल्टर सेट करने और बाकी लेख के बारे में भूलने की ज़रूरत है, लेकिन फिर आपको अंकल वान्या में बदलना होगा, जो हमेशा ड्यूटी पर रहता है। दूसरे शब्दों में - क्या आपके पास खाली समय है? सुरक्षा लॉग पर एक नज़र डालें।
यदि आप स्वयं रहना चाहते हैं और आपके पास 1 से अधिक सीडी हैं, तो यह आगे पढ़ने लायक है।

PowerShell के बारे में क्या?

PowerShell में, cmndlet का Get-eventlog लॉग देखने में मदद करता है। इसके साथ, हम उन संदेशों का चयन करेंगे जिनकी हमें आवश्यकता है। स्क्रिप्ट पर हस्ताक्षर करने के साथ समस्याओं को प्राप्त करने के लिए, हमने ऐसा किया: हमने कोड को प्रोफाइल फाइल में रखा और इसे फ़ंक्शन के रूप में परिभाषित किया।

उन लोगों के लिए जो प्रोफाइल से परिचित नहीं हैं, आप इसे पढ़ सकते हैं या जो हैबर को छोड़ना नहीं चाहते हैं, यह ।
इसके अलावा, प्रोफाइल लोड करने के लिए, आपको कमांड चलाने की जरूरत है:

Set-ExecutionPolicy RemoteSigned

आइए अपनी भेड़ों के पास वापस जाएं। दरअसल, हमारे फ़ंक्शन का कोड:

function Audit
{
Get-eventlog security -InstanceID "5137" -Newest 1 |
Where-Object {$_.Message -match "OU=NewUsers,DC=contoso,DC=com"} |
Select-object TimeWritten,Message,MachineName | Format-list | out-file \\MyComp\d$\Audit.txt -append
}

अपने लिए, मैं केवल उस घटना को रिकॉर्ड करने का समय, संदेश और सीडी का नाम चुनता हूं जिस पर यह सब हुआ है। यदि यह जानकारी किसी के लिए पर्याप्त नहीं है, तो आप सूची का विस्तार कर सकते हैं। हम लिखते हैं:
Get-eventlog security -InstanceID "5137" | get-member
और सभी संपत्तियों की पूरी सूची प्राप्त करें।
आउटपुट एक पाठ फ़ाइल में किया जाता है, जो मेरे काम करने वाले कंप्यूटर पर स्थित है।
इसके अलावा, मैं केवल एक निश्चित विभाग के खातों में दिलचस्पी रखता हूं, इसलिए हम उन संदेशों का चयन करते हैं जिनके पास हमारे फ़ोल्डर (OU = NewUsers, DC = contoso, DC = com) के लिए एक रास्ता है।
यदि आप आश्चर्य करते हैं कि मैं केवल 1 अंतिम प्रविष्टि क्यों चुनता हूं, तो पढ़ें।

हमें इस फ़ंक्शन को हर बार कॉल करने की आवश्यकता है जो हमें लॉग में दिखाई देते हैं। ऐसा करने के लिए, मानक कार्य शेड्यूलर का उपयोग करें। मैं आपको यह नहीं बताऊंगा कि कार्य कैसे बनाया जाता है, मैं महत्वपूर्ण बिंदुओं पर ध्यान केन्द्रित करूंगा:
क्रिया: प्रोग्राम चलाएँ।
कार्यक्रम या स्क्रिप्ट: शक्तियां
तर्क जोड़ें: -डॉस्टस्टाइल हिडन ऑडिट
ट्रिगर:
किसी कार्य को असाइन करें: किसी ईवेंट पर
पत्रिका: सुरक्षा
इवेंट आईडी: 5137

इसके अलावा बक्से चेक करना न भूलें:
"उपयोगकर्ता पंजीकरण की परवाह किए बिना प्रदर्शन करें" - ताकि हमारी उपस्थिति की आवश्यकता के बिना कार्य पूरा हो सके।
"उच्चतम अधिकारों के साथ प्रदर्शन करें" - ताकि हमारे पास जर्नल सुरक्षा तक पहुंच हो।

कार्य बनाने के बाद, आप इसे एक xml फ़ाइल में निर्यात कर सकते हैं और इस तरह इसे अन्य सीडी में वितरित कर सकते हैं।

मुखबिर पसंद नहीं करते

नतीजतन, हमें प्रत्येक सीडी पर एक व्यक्तिगत "मुखबिर" मिला, जो हमें सुरक्षा पत्रिका में आवश्यक घटनाओं पर प्रतिक्रिया देगा।
अब आप उन लोगों का हाथ पकड़ सकते हैं जो फेंगशुई के सिद्धांतों का पालन नहीं करते हैं और हमारे डोमेन में ऊर्जा के मुक्त प्रवाह में हस्तक्षेप करते हैं।