🕰️ 🏗️ 👨🏿‍🔬 हारा हुआ समूह। AD में "अजीब" समूहों के असाइनमेंट का पता लगाएं 👩🏻‍🤝‍👨🏽 👨🏽‍🚀 ☝🏿

दिन का अच्छा समय, हैबर नागरिकों!

मैं आपके साथ अपने एक गिज़्मोस को साझा करने की जल्दबाजी करता हूं, जो मेरे लिए काम को सुविधाजनक बनाने के लिए डिज़ाइन किया गया था, एक सिस्टम एडमिनिस्ट्रेटर के रूप में, जो उस ट्रैश को समझता है जो उसे एक्टिव डायरेक्टरी में विरासत में मिला है।
मेरी राय में, सबसे अच्छे समस्याग्रस्त समूह हैं। इस लेख में उनकी चर्चा की जाएगी।
अर्थात्: हम सक्रिय निर्देशिका में जाते हैं, डिवीजनों के खुले स्थानों को हल करते हैं और समूहों को पूरी तरह से बिना नाम वाले (उदाहरण के लिए, उजिन, वासा, ओपल, www आदि) और बिना विवरण के देखते हैं। प्रश्न पर ध्यान दें: निर्धारित करें कि ये समूह किस लिए हैं।

हमें क्या विरासत में मिला है

तो, हम समूह को देखते हैं, सिर के पीछे को खरोंचते हुए। समूह में विभिन्न विभागों के उपयोगकर्ता शामिल हैं। सामान्य ज्ञान का कोई संकेत नहीं। शायद, समूह के नाम से, हम अस्पष्ट रूप से यह निर्धारित (या अनुमान) कर सकते हैं कि यह क्या है। यह उस एक से अधिक होगा जिसने आपको यह सब छोड़ दिया है। हम क्या करने जा रहे हैं?

इसलिए अपने काम पर, जैसे ही मैं डोमेन में शामिल हुआ, मुझे एक गाड़ी और ऐसे समूहों की एक छोटी गाड़ी मिली। और यद्यपि मेरे स्थान पर बने रहने से पहले जितने भी लोग उनके प्रभारी थे, कोई भी मुझे समझदार जवाब नहीं दे सकता था। यदि पहले यह हमारी आँखें बंद करना संभव था, तो कई अन्य चीजें थीं, लेकिन अब चीजों को क्रम में रखने की आवश्यकता आ गई है।

समूह जीवन का अर्थ क्या है? एक नियम के रूप में, यह या तो साझा किए गए फ़ोल्डरों में संसाधनों तक पहुंच है, या समूह नीतियों को लागू करने के लिए एक फिल्टर है (मैं सिस्टम एडमिन जैसे डोमेन समूह आदि को ध्यान में नहीं रखता हूं)
इसलिए हमारे लिए कार्य निर्धारित किया गया है: हमें साझा संसाधनों और समूह नीतियों में फ़ोल्डरों की एक्सेस कंट्रोल लिस्ट (एसीएल) की जांच करने की आवश्यकता है।

नमस्कार श्री। आलीशान

यहां, हमारे स्विस चाकू क्षेत्र में प्रवेश करते हैं, जिसके साथ हम फ़ोल्डर्स और नीतियों के एसीएल खोलेंगे।
चूंकि राजनेताओं के लिए यह आसान है, आइए उनके साथ शुरू करें।

समूह नीति

समूह की नीतियों के साथ काम करने के लिए, ग्रुओपोलिसिअल मॉड्यूल हमारी मदद करेगा। इस मॉड्यूल से हम दो cmdlets का उपयोग करते हैं:
1. गेट-जीपीओ, जो हमें डोमेन में सभी समूह नीतियों की एक सूची भेजता है
2. गेट-गैपर्स, जो हमें एसीएल नीतियों को देखने की अनुमति देता है।
फिर, हम सिर्फ अपने समूह के नाम और ACL में प्रवेश के बीच एक मैच की तलाश करते हैं, और यदि कोई हो, तो इस नीति के बारे में जानकारी प्रदर्शित करें:

$name=read-host "      " Write-Host -Fore RED "   ..." $gpos=get-gpo -all Foreach ($gpo in $gpos) { $ACls=get-gppermissions -Name $gpo.DisplayName -all Foreach ($acl in $ACls) { if ($acl.Trustee.Name -match "$name") { Write-Host -Fore GREEN " !"; $gpo If ($acl.Permission -eq "GpoApply") {if ($acl.Denied) {Write-Host -Fore RED "  "}} } } }

मैं एसीएल में अनुमति और अस्वीकृत संपत्तियों को भी नोट करना चाहता हूं।
1. अनुमति - इसमें ऑब्जेक्ट के लिए अनुमतियाँ शामिल हैं, उदाहरण के लिए, एक नीति (GpoApply) को लागू करना, एक नीति (GpoRead) पढ़ना, एक नीति (GpoEdit) को बदलना, या सभी को एक बार (GpoEditDetModifySecurity)।
2. अस्वीकृत हमें दिखाता है कि अनुमति में क्या प्रदर्शित या अनुमत है।
यदि आप स्क्रिप्ट के एक टुकड़े को देखते हैं, तो आप यह देख सकते हैं कि यदि समूह का ACL पॉलिसी का अस्वीकृत (अस्वीकृत-सच $ सच) अनुप्रयोग (अनुमति -एक "GpoApply"), तो इस बारे में एक अधिसूचना प्रदर्शित की जाएगी। सिद्धांत रूप में, सभी मामलों के लिए सूचनाएं चित्रित करना संभव था, लेकिन मैं केवल नीतियों के वितरण पर रोक में दिलचस्पी रखता हूं।
PS हम $ नाम चर का उपयोग करेंगे, जिसमें हमारे समूह का नाम कोड के निम्नलिखित टुकड़ों में स्थित है।

साझा किए गए फ़ोल्डर

अब हम साझा किए गए फ़ोल्डरों का ध्यान रखते हैं। दो विकल्प हैं:
1. जब अनुमति सीधे साझा संसाधन को दी जाती है।
2. जब एक साझा संसाधन के आंतों में छिपे हुए फ़ोल्डर को अनुमति दी जाती है।
फिर से क्रम में चलते हैं।

सतह पर देख रहे हैं

सबसे आसान और सबसे समझा जाने वाला तरीका साझा फ़ोल्डरों को अनुमति देना है। इसलिए यह बेहतर है कि आपके पास 1 स्थान पर सभी अनुमतियाँ हों, और अपने उत्तराधिकारियों को भ्रमित न करें जब उन्हें फ़ोल्डरों की 4 परतें मिलें और अपने जन्मदिन की तस्वीरों के साथ एक फ़ोल्डर ढूंढें, जहां केवल आपके मित्र को ही आपके खाते में प्रवेश करने की अनुमति थी। वह एक शॉर्टकट खो देगी, अनुमान लगा सकती है कि उसे किस फ़ोल्डर की आवश्यकता है? लेकिन हम बाद में उसके पास लौट आएंगे।
और अब हमें अपने फ़ाइल सर्वर पर साझा किए गए फ़ोल्डरों पर एसीएल की जांच करने की आवश्यकता है (यहां इसे फाइलसेवर कहा जाता है ... (हां, मैं मूल हूं)। इसके लिए, हम सभी के लिए प्रिय WMI का उपयोग करते हैं। मैं ध्यान देता हूं कि मैं तुरंत उन फ़ोल्डरों को फेंक देता हूं जो हमारे सर्वर पर एक साधारण लॉगिन के साथ प्रदर्शित नहीं होते हैं। क्यों? साधारण उपयोगकर्ता वहां नहीं मिलेंगे, लेकिन असामान्य लोग, आप पूछ सकते हैं (यदि आवश्यक हो, तो आप इसे हटा सकते हैं):

 Write-Host -Fore RED "   \\FileServer" $dirs=get-wmiobject win32_Share -computername FileServer | where-object {$_.Name -notmatch "\$"} Foreach ($dir in $dirs) { Trap [System.UnauthorizedAccessException] {"     $share"; continue;} $out=$null $share=$dir.Path if ($share -match "^D:") {$share = $share.ToUpper().Replace('D:','\\FileServer\d$')} elseif ($share -match "^C:") {$share = $share.ToUpper().Replace('C:','\\FileServer\c$')} $out=($share | get-acl).Access | where-object {$_.IdentityReference -match "$name"} if ($out -ne $null) {Write-Host -Fore green " !" $share} }

हम एक त्रुटि भी पकड़ते हैं जो हमें बताती है कि कुछ फ़ोल्डरों तक पहुंच बंद है, और लाल भयावह त्रुटियों के बजाय, हम एक सरल संदेश प्राप्त करेंगे।
दो पंक्तियाँ जिनमें हम 'D:' को '\\ FileServer \ d $' से बदलते हैं (और 'C' ड्राइव के समान) आवश्यक हैं, क्योंकि यदि ऐसा नहीं किया जाता है, तो cmdlet get-acl हमारे कंप्यूटर पर इन फ़ोल्डरों को खोजने की कोशिश करेगा और सबसे अधिक संभावना यह नहीं मिलेगी। और वह (cmdlet get-acl) पथ \\ FileServer \ Folder के साथ खोज नहीं कर सकता। हमारे उदाहरण में, केवल 2 डिस्क हैं, लेकिन अधिक जोड़ना कोई समस्या नहीं है।

हम गहराई तक उतरते हैं

हम लेखांकन से एक दोस्त के पास लौटते हैं। अब हम सबफ़ोल्डर्स में खुदाई करते हैं।
मुझे लगता है कि बहुत से लोग कहेंगे कि जब आप बाल-बच्चे पैदा कर सकते हैं, तो किसी चीज के साथ क्यों आएं। यदि आपके पास सर्वर पर कई फ़ोल्डर नहीं हैं - हाँ, तो आप पुनरावृत्ति का उपयोग कर सकते हैं। लेकिन अगर आपके पास लगभग 7 टीबी फ़ाइल सर्वर है, तो, सिद्धांत रूप में, या तो कोई समस्या नहीं है, आपको बस कुछ घंटे इंतजार करना होगा और सब कुछ काम करेगा। और ईश्वर से प्रार्थना है कि आपको खोज के बीच में कोई गलती न हो।
सो-क्रेक हमारी मदद नहीं करेगा, फिर क्या? फिर हमें एक चक्र बनाने की ज़रूरत है, जो कि हमारे फुसफुसाते हुए, फ़ोल्डर्स के आंतों में जाएगा जितना हम चाहते हैं (यह ऐसा लगता है)। मान लीजिए कि हमारे पास विभागों के लिए सबफ़ोल्डर के साथ एक फ़ोल्डर है (कृपया टॉटोलॉजी को माफ़ करें)। ये फ़ोल्डर साझा नहीं किए गए हैं। इन फ़ोल्डरों में से कुछ में वे फ़ोल्डर हैं जिनकी हमें आवश्यकता है, पोषित अनुमतियों के साथ।

 Write-Host -Fore RED "   \\FileServer\WorkFolders..." $AllPath=@{} $sub=4 $path=dir \\FileServer\c$\WorkFolders | where-object {$_.PSIscontainer} $AllPath=$path $cnt=0 For ($o=1; $o -lt $Sub; $o++) { $PPath=$AllPath For ($i=$Cnt; $i -lt $PPath.Count; $i++) { $a = dir $PPath[$i].FullName | where-object {$_.PSIscontainer} if ($a -ne $null) {$AllPath = $AllPath + $a} } $cnt=$PPath.Count } Foreach ($WF in $AllPath) { Trap [System.UnauthorizedAccessException] {"    " + $WF.FullName; continue;} $out=$null $out=(get-acl $WF.FullName).Access | where-object {$_.IdentityReference -match "$name"} if ($out -ne $null) {Write-Host -Fore GREEN " !"; $WF.FullName} }

आप देख सकते हैं कि हमें केवल फ़ोल्डर्स की आवश्यकता है, इसलिए हम PSIscontainer प्रॉपर्टी का उपयोग करके आउटपुट को फ़िल्टर करते हैं।
$ उप चर खोज की गहराई निर्धारित करता है। $ AllPath चर उन सभी फ़ोल्डरों के लिए पथ संग्रहीत करता है जिन्हें हमने पाया था। ठीक है, फिर, इशारों ने हमें पहले से ही परिचित कर दिया है, उनमें हमारे समूह की उपस्थिति के लिए पाए गए फ़ोल्डरों के एसीएल की जांच करें।

अंत में

इस प्रकार, आप किसी विशेष समूह के लिए लगभग किसी भी सबसॉइल अनुमति में पा सकते हैं। स्वाभाविक रूप से, इसका उपयोग न केवल समूहों की खोज करने के लिए किया जा सकता है, बल्कि उपयोगकर्ताओं और कंप्यूटरों के लिए भी खोज किया जा सकता है (सौभाग्य से, मैं शायद ही कभी इसका सामना करता हूं)।
यह आपको तय करना है कि इन सभी में से एक स्क्रिप्ट बनाना है, एक या कई कार्य।

अंत में, मैं कुछ मार्मिक शब्द कहना चाहता हूं: कामरेड, सहकर्मी, चलो काम के एक नए स्थान में एक-दूसरे के जीवन को जटिल न करें। समूह के विवरण में इसके उद्देश्य के बारे में लिखना मुश्किल नहीं है। और इस समूह को बनाने के लिए कुछ भी जटिल नहीं है और न ही खातों के लिए अनुमतियाँ हैं। यदि हम सभी ऐसा करते हैं, तो जल्द ही इस तरह के लेख लिखने की आवश्यकता नहीं होगी।

हारा हुआ समूह। AD में "अजीब" समूहों के असाइनमेंट का पता लगाएं