सक्रिय निर्देशिका क्रेडेंशियल अद्यतन करना

बहुत से लोग यह महसूस करते हैं कि जब कोई कंपनी पर्याप्त काम करने वाले समूह नहीं होती है, तो आकार का विस्तार होता है, और पहले सक्रिय निर्देशिका डोमेन उगता है: "ओह, अब सब कुछ जैसा होना चाहिए!" लेकिन नहीं, डोमेन धीरे-धीरे बढ़ रहा है, नए खाते बनाए जा रहे हैं, पुराने बंद हो गए हैं। , कंप्यूटर जोड़े जाते हैं, हटाए जाते हैं, लड़कियों की शादी होती है, उनके नाम बदलते हैं और अंत में, निर्देशिका सेवा डेटाबेस एक पूर्ण सीम की तरह दिखता है। इस विषय में, हम सक्रिय निर्देशिका आधार और उद्यम के कर्मियों प्रणाली के बीच एक संबंध स्थापित करेंगे, साथ ही साथ AD में कर्मचारियों के डेटा को बनाए रखने के लिए एक तंत्र बनाएँ।

सबसे पहले, हम उन आवश्यकताओं का वर्णन करेंगे जो हमें कर्मचारी खातों के लिए करना चाहिए। और हम उपयोगकर्ता की आवश्यकताओं के आधार पर इन आवश्यकताओं का अनुमान लगाने की कोशिश करेंगे। यह कोई रहस्य नहीं है कि कई कॉर्पोरेट सिस्टम जो सक्रिय निर्देशिका के माध्यम से प्रमाणीकरण का उपयोग करते हैं, उनके व्यवस्थापक क्षेत्रों में प्रदर्शन के लिए, और बस काम के दौरान, अक्सर एडी खातों के विभिन्न क्षेत्रों का उपयोग करते हैं: ये शेयरपॉइंट, Citrix, और कई, कई अन्य हैं। ऐसी प्रणाली के एक उदाहरण के रूप में, मैं एमएस आउटलुक ले जाऊंगा, जो सभी को अच्छी तरह से पता है, लेकिन पूरी तरह से नहीं, बल्कि केवल इसकी पता पुस्तिका, जो सीधे डायरेक्ट्री से अपना डेटा खींचती है।



उपयोगकर्ता क्या उपयोग करता है? हमारे संगठन में, वह अक्सर फोन का नाम, ईमेल पता और इकाई का नाम खोजता है। बेशक, पते की जानकारी को भरना अच्छा है, लेकिन इस तथ्य के कारण कि हमारे पास सार कर्मियों के सिस्टम के साथ एक बंडल के बारे में एक विषय है, हम पते और फोन को कोष्ठक के बाहर छोड़ देंगे।
सबसे पहले, हम उन क्षेत्रों की एक सूची लिखते हैं, जिन्हें हम कार्मिक प्रणाली से लेना चाहते हैं, हमारे पास यह होगा:

• सरनेम नेम पेट्रोनामिक
• नौकरी का शीर्षक
• संगठन
• उपखंड
• ज़िप कोड
• रोजगार का प्रकार

इस स्तर पर, इस डेटा को अद्यतित रखने के लिए कार्मिक अधिकारियों और प्रशासकों को बाध्य करते हुए, हमारे क्षेत्रों की हमारी सूची को समेकित करना और सबसे बड़े निदेशक के नाम पर आदेश जारी करना उपयोगी है।

तंत्र

यह बिना यह कहे चला जाता है कि कार्मिक प्रणाली के किसी व्यक्ति को और सक्रिय निर्देशिका के किसी व्यक्ति को लिंक करने के लिए, आपको कुछ पहचानकर्ता के लिए इन दो प्रविष्टियों को जोड़ने की आवश्यकता है। आमतौर पर, इस तरह के एक पहचानकर्ता कर्मचारी की कार्मिक संख्या होती है, इसे नौकरी के लिए आवेदन करते समय सौंपा जाता है और फिर कभी नहीं बदलता है, हालांकि, मैंने उन स्थितियों का सामना किया है जहां कर्मियों की संख्या स्थिर नहीं है, ऐसे मामले में ऐसे पहचानकर्ता का आविष्कार किया जाना चाहिए।

सक्रिय निर्देशिका उपयोगकर्ता के बारे में जानकारी सक्रिय निर्देशिका उपयोगकर्ता और कंप्यूटर स्नैप-इन (ADUC के लिए एक स्थापित संक्षिप्त नाम) में देखी जा सकने वाली जानकारी तक सीमित नहीं है, और यह थकावट से दूर है। वास्तव में, उपयोगकर्ता ऑब्जेक्ट में एक ट्रिलियन विशेषताएँ होती हैं, और इन विशेषताओं को स्कीमा व्यवस्थापक द्वारा भी जोड़ा जा सकता है। उदाहरण के लिए, कैरेलिसेंस के रूप में एक ऐसी विशेषता है, जिसमें ड्राइवर के लाइसेंस, या पेय के बारे में जानकारी होती है, जो उपयोगकर्ता के पसंदीदा पेय की विशेषता है। सामान्य तौर पर, इस अर्थ में Microsoft ने बहुत कुछ प्रदान किया है।

मेरे उदाहरण में, मैं यूजर आईडी, और झंडे को संग्रहीत करने के लिए कर्मचारी की विशेषताओं का उपयोग करूंगा, इस उद्देश्य के लिए, मैं थोड़ी देर बाद रिपोर्ट करूंगा।

इसके अलावा, उपयोगकर्ता फ़ील्ड भरने के लिए, हम विशेषताओं का उपयोग करेंगे:

• पूर्ण नाम संग्रहीत करने के लिए displayName और CN
• इकाइयों को स्टोर करने के लिए विभाग
• संगठन भंडारण के लिए कंपनी
• पोस्ट स्टोरेज के लिए शीर्षक
• कर्मचारी प्रकार को स्टोर करने के लिए कर्मचारी टाइप
• सूचकांक भंडारण के लिए डाक कोड

पेडेंट, निश्चित रूप से, पहले नाम, प्रारंभिक और अंतिम नाम को क्रमशः स्टोर करने के लिए दिए गए नाम, आद्याक्षर, और स्न का उपयोग कर सकते हैं, लेकिन मुझे लगता है कि ये सूक्ष्मताएं हैं।

तो, हमारा आवेदन इस तरह काम करेगा:

1. एक कर्मचारी के साथ खातों में प्रवेश करें
2. बदले हुए डेटा के लिए प्रत्येक खाते के लिए कार्मिक प्रणाली खोजें
3. सक्रिय निर्देशिका में डेटा अपडेट करें
4. लॉग फ़ाइल परिवर्तन

व्यापार करने के लिए

पहला कदम कर्मचारियों की संख्या को कम करना है, जिसे हम सभी उपयोगकर्ताओं को कर्मियों की संख्या का प्रतिनिधित्व करते हैं। यदि कुछ उपयोगकर्ता हैं, तो एडीएसआई एडिट के माध्यम से ऐसा करना सबसे आसान है, अगर कुछ और हैं, तो आप स्क्रिप्ट को प्रिस्क्राइब करने के लिए फास्ट कर सकते हैं, उदाहरण के लिए। और अगर कई उपयोगकर्ता हैं, तो पहचानकर्ताओं की व्यवस्था को सौंपने की आवश्यकता है, आप एक अच्छा इंटरफ़ेस चाहते हैं और अतिरिक्त baubles का उपयोग किया जाता है, तो आप ADUC में ऐसा अतिरिक्त टैब बना सकते हैं:



हालाँकि, ऐसे टैब का निर्माण अपने आप में एक अलग विषय का विषय है।

दूसरा सूक्ष्म बिंदु यह है कि कभी-कभी ऐसा होता है कि कुछ लोगों के लिए केवल कुछ विशेषताओं को बदलना चाहिए। उदाहरण के लिए, हमारे पास एक कर्मचारी है, चलो उसे कुदरीमुन्बेकोव सदरुद्दीन फथुल्लारोविच कहते हैं, लेकिन हर कोई उसे बस सैन सनच कहता है। और एक जनरल डायरेक्टर है, जिसकी कार्मिकों की स्थिति केवल लॉन्ग-रेंज स्पेस कम्युनिकेशन "हॉर्न्स एंड होव्स" के ओपन जॉइंट-स्टॉक कंपनी के जनरल डायरेक्टर के रूप में दर्ज है, जो कि AD में संचार के साथ ठीक-ठीक छोड़ना बेहतर होगा, लेकिन निश्चित रूप से हॉर्नट्स और खुरों के साथ। इस प्रकार, हमें अपने आवेदन के तर्क में कुछ अपवाद रखने की आवश्यकता है, और हम इन अपवादों को उसी स्थान पर सक्रिय निर्देशिका विशेषता झंडे में संग्रहीत करेंगे। इस विशेषता में चार बाइट्स का एक मान है, जिसका अर्थ है कि इस या उस बिट को एक या किसी अन्य मूल्य पर सेट करके, हम, यदि आवश्यक हो, तो 32 अपवादों को याद कर सकते हैं। हालाँकि, हम अभी भी केवल छह का उपयोग करेंगे।

हम शक्तियां लागू करने के लिए पास करते हैं:

#       Active Directory #   param($strServer, $strContainer, $strUserName, $strPassword, $strFileName, $strLogName) function Write-LogFile([string]$logFileName) { Process { $_ $dt = Get-Date $str = $dt.DateTime + " " + $_ $str | Out-File -FilePath $logFileName -Append } } #      ,    #      .       1, #    ,      Oracle e-Buisness suite, #        csv-. #  ,     Import-CSV , #     ,  - ,     function Get-Employee($employeeID, $fileName, [ref]$title, [ref]$department, [ref]$displayName, [ref]$company, [ref]$postalCode, [ref]$employeeType) { $records = $fileName | Import-CSV -Delimiter ";" $employee = $records | where-object {$_.EmployeeID -eq $employeeID} if ($employee -eq $null) {return $false} $title.Value = [string]$employee.Title $department.Value = [string]$employee.Department $displayName.Value = [string]$employee.Name $company.Value = [string]$employee.Company $postalCode.Value = [string]$employee.PostalCode $employeeType.Value = [string]$employee.EmployeeType return $true } #     "---" | Write-LogFile $strLogName "  :" | Write-LogFile $strLogName ": " + $strServer | Write-LogFile $strLogName ": " + $strContainer | Write-LogFile $strLogName " : " + $strUserName | Write-LogFile $strLogName ": " + $strPassword | Write-LogFile $strLogName " : " +$strFileName | Write-LogFile $strLogName "  : " + $strLogName | Write-LogFile $strLogName #   ,           #  ,     000001, 000010, 000100, 001000, 010000  100000 #   .  ,     , #     New-Variable -Option constant -Name C_COMPANY_FLAG -Value 1 New-Variable -Option constant -Name C_POSTALCODE_FLAG -Value 2 New-Variable -Option constant -Name C_TITLE_FLAG -Value 4 New-Variable -Option constant -Name C_DEPARTMENT_FLAG -Value 8 New-Variable -Option constant -Name C_NAME_FLAG -Value 16 New-Variable -Option constant -Name C_EMPLOYEETYPE_FLAG -Value 32 #     title.  title   # http://msdn.microsoft.com/en-us/library/windows/desktop/ms680037(v=VS.85).aspx #  64     Windows Server 2003 #  128     Windows Server 2008 #     ,   New-Variable -Option constant -Name C_PARAMETERS_LENGTH -Value 64 # (!userAccountControl:1.2.840.113556.1.4.803:=2)   "     " $strFilter = "(&(objectClass=user)(!objectClass=computer)(employeeID=*)(!userAccountControl:1.2.840.113556.1.4.803:=2))" # , ,    Active Directory  Windows Server 2008 # http://blogs.msdn.com/adpowershell #        Windows Server 2003  Windows XP, #     $objDomain = New-Object System.DirectoryServices.DirectoryEntry("LDAP://"+$strServer+"/"+$strContainer) $objSearcher = New-Object System.DirectoryServices.DirectorySearcher $objSearcher.SearchRoot = $objDomain $objSearcher.PageSize = 1000 $objSearcher.Filter = $strFilter $objSearcher.SearchScope = "Subtree" $colProplist = "employeeID","postalCode","title","department", "displayName", "cn", "employeeType" foreach ($i in $colPropList) { $objSearcher.PropertiesToLoad.Add($i) } $colResults = $objSearcher.FindAll() #   colResults      $startTime = Get-Date $totalCount = $colResults.Count $i = 0 foreach ($objResult in $colResults) { $objItem = $objResult.Properties $aDEmployeeID = $objItem.employeeid #  ,     flags,        # ,      ,      $flagProtectCompany = $false $flagProtectPostalCode = $false $flagProtectTitle = $false $flagProtectDepartment = $false $flagProtectName = $false $flagProtectEmployeeType = $false if (!($objItem.flags -eq $null)) { $flags = $objItem.flags if (($flags[0] -band $C_COMPANY_FLAG) -ne 0) {$flagProtectCompany = $true} if (($flags[0] -band $C_POSTALCODE_FLAG) -ne 0) {$flagProtectPostalCode = $true} if (($flags[0] -band $C_TITLE_FLAG) -ne 0) {$flagProtectTitle = $true} if (($flags[0] -band $C_DEPARTMENT_FLAG) -ne 0) {$flagProtectDepartment = $true} if (($flags[0] -band $C_NAME_FLAG) -ne 0) {$flagProtectName = $true} if (($flags[0] -band $C_EMPLOYEETYPE_FLAG) -ne 0) {$flagProtectEmployeeType = $true} } #   ,      $cSVName = "" $cSVTitle = "" $cSVDepartment = "" $cSVCompany = "" $cSVPostalCode = "" $cSVEmployeeType = "" #         PowerShell,    # ,     $rc = Get-Employee $aDEmployeeID $strFileName ([ref]$cSVTitle) ([ref]$cSVDepartment) ([ref]$cSVName) ([ref]$cSVCompany) ([ref]$cSVPostalCode) ([ref]$cSVEmployeeType) if ($rc) { #            ,   #  .       , #    , ,       #    $objDirectoryEntry = new-object System.DirectoryServices.DirectoryEntry($objItem.adspath, $strUsername, $strPassword, [System.DirectoryServices.AuthenticationTypes]::Secure) $oTitle = $cSVTitle if ($oTitle.Length -gt $C_PARAMETERS_LENGTH) {$oTitle = $oTitle.Substring(0,$C_PARAMETERS_LENGTH)} $oDepartment = $cSVDepartment if ($oDepartment.Length -gt $C_PARAMETERS_LENGTH) {$oDepartment = $oDepartment.Substring(0,$C_PARAMETERS_LENGTH)} $newEmployeeType = $cSVEmployeeType #     ,    ,    ,  , #    (    ).       if (($newEmployeeType -ne $objItem.employeetype) -and -not $flagProtectEmployeeType) { " EmployeeType  """ + $objDirectoryEntry.name + """" | Write-LogFile $strLogName " """ + $objDirectoryEntry.employeetype + """  """ + $newEmployeeType + """" | Write-LogFile $strLogName $objDirectoryEntry.employeetype = [string]$newEmployeeType $objDirectoryEntry.CommitChanges() } if (($cSVCompany -ne $objItem.company) -and -not $flagProtectCompany) { "   """ + $objDirectoryEntry.name + """" | Write-LogFile $strLogName " """ + $objDirectoryEntry.company + """  """ + $cSVCompany + """" | Write-LogFile $strLogName $objDirectoryEntry.company = [string]$cSVCompany $objDirectoryEntry.CommitChanges() } if (($cSVPostalCode -ne $objItem.postalcode) -and -not $flagProtectPostalCode) { "   """ + $objDirectoryEntry.name + """" | Write-LogFile $strLogName " """ + $objDirectoryEntry.postalCode + """  """ + $cSVPostalCode + """" | Write-LogFile $strLogName $objDirectoryEntry.postalCode = $cSVPostalCode $objDirectoryEntry.CommitChanges() } if (($oTitle -ne $objItem.title) -and -not $flagProtectTitle) { "   """ + $objDirectoryEntry.name + """" | Write-LogFile $strLogName " """ + $objDirectoryEntry.title + """  """ + $cSVTitle + """" | Write-LogFile $strLogName if ($title.Length -gt $C_PARAMETERS_LENGTH) { $objDirectoryEntry.title = $cSVTitle.Substring(0,$C_PARAMETERS_LENGTH) } else { $objDirectoryEntry.title = $cSVTitle.ToString() } $objDirectoryEntry.CommitChanges() } if (($oDepartment -ne $objItem.department) -and -not $flagProtectDepartment) { "   """ + $objDirectoryEntry.name + """" | Write-LogFile $strLogName " """ + $objDirectoryEntry.department + """  """ + $cSVDepartment + """" | Write-LogFile $strLogName if ($department.Length -gt $C_PARAMETERS_LENGTH) { $objDirectoryEntry.department = $cSVDepartment.Substring(0,$C_PARAMETERS_LENGTH) } else { $objDirectoryEntry.department = $cSVDepartment.ToString() } $objDirectoryEntry.description = $cSVDepartment.ToString() $objDirectoryEntry.CommitChanges() } if ((($cSVName -ne $objItem.displayname) -or ($cSVName -ne $objItem.cn)) -and -not $flagProtectName) { "   """ + $objDirectoryEntry.name + """" | Write-LogFile $strLogName " """ + $objDirectoryEntry.displayname + """  """ + $cSVName + """" | Write-LogFile $strLogName $objDirectoryEntry.displayName = $cSVName $objDirectoryEntry.CommitChanges() $objDirectoryEntry.Rename("cn="+$cSVName) } $i++ #         ,    #  ,  , ,       $status = $i.ToString() + " of " + $totalCount.ToString() + " complete - " + $objDirectoryEntry.name $currentTime = Get-Date $diffTime = [int][System.Math]::Round(($currentTime - $startTime).Ticks / $i) $delta = $diffTime*$totalCount $endTime = $startTime.Add([int64]($delta)) $activityString = " .    " + $endTime Write-Progress -Activity $activityString -Status $status -PercentComplete (($i / $totalCount) * 100) } } " " | Write-LogFile $strLogName #      ,   Write-Host `a 

एक परीक्षण वातावरण बनाएं, खातों को नाम बिल्कुल बेतरतीब ढंग से असाइन करें:



अब मापदंडों के साथ स्क्रिप्ट चलाएँ। बेशक, आप इसे धोखा दे सकते हैं और इसे एक समय पर निष्पादित कर सकते हैं, बस उस खाते को मत भूलिए जिस पर कार्य निष्पादित किया गया है, एक बैच कार्य के रूप में लॉग इन करने का अधिकार असाइन करें:



जैसा कि आप देख सकते हैं, निष्पादन के बाद, हमें अच्छे पठनीय नाम, उत्कृष्ट पद और महान कंपनी के नाम मिले:



बेशक, स्क्रिप्ट के उथले संशोधन के माध्यम से, हम उपयोगकर्ता को हर चीज से भर सकते हैं: फोन और पते से लेकर कुख्यात पसंदीदा पेय तक, एक स्रोत होगा। और यदि आप एक निश्चित नियमितता के साथ स्क्रिप्ट चलाते हैं, तो हम यह सुनिश्चित करेंगे कि सभी उपयोगकर्ता डेटा अद्यतित हैं।

रिसीवर ने एक छोटी सी त्रुटि को ठीक किया, लूप के अंदर झंडे को रीसेट करने के लिए ले जाया गया