Powershell管理系列（一）Active Direcrtory管理:用户管理

midea2

　　通常我们都是用OU来对AD用户进行分类管理。开始之前先对组织单位(OU)概念进行介绍。
　　组织单位：OU 是一些 Active Directory 容器，可以在其中放置用户、组、计算机和其他 OU。OU 不能包含来自其他域中的对象。OU 是可以向其分配组策略设置或委派管理权力的最小作用域或单位。使用 OU 可以在域中创建表示组织中的层次结构、逻辑结构的容器。然后可以根据组织模型管理帐户和资源的配置和使用。
　　注意：OU不能用于为资源分配权限。
　　相对于OU，还有一些默认容器是安装AD DS是创建的。区分组OU和默认容器的方法看图标即可。 这种图标的是OU， 这种图标是默认容器。默认容器是无法链接组策略，只有OU才可以链接组策略，这也是为什么推荐大家使用OU来管理用户和计算机账号的原因，不建议大家直接把用户和计算机账号放在Users和Computers这两个默认容器。
　　一、OU设计及委派控制
　　1.根据不同的账号类型分别建立OU。

　　2.在用户账号OU下又可以按分别建立相应OU来管理各部门账号，这样也可以方便以后组策略的应用，因为可能各部门需要应用不同的策略。

　　3.OU委派管理。
　　OU委派管理在企业中经常用到，比如：让部门经理管理自己部门的账号或Helpdesk 来对AD账号进行维护，如果直接给Domain Admin 这肯定是不合适，权限过大，这是OU的委派控制就能起到作用。被委派的用户可以是Domain User，他们可以使用远程管理工具RSAT来对用户进行管理。
　　RSAT For Windows 7 SP1:http://www.microsoft.com/zh-cn/download/details.aspx?id=7887
　　RSAT For Windows 8:http://www.microsoft.com/zh-cn/download/details.aspx?id=28972

• 　　打开Active Directory用户和计算机，右击需要委派的OU，选择“委派控制”。
  

• 　　添加你想委派控制的用户或组。
  

• 　　根据需求选择需要委派的任务，如需委派更多权限可以选择自定义任务，最后点击“完成即可完成委派”
  

　　如果需要删除委派的话，打开高级功能，右击需要删除委派的OU，选择“属性”，在“安全”页面找到相应用户删除即可。

　　二.用户管理
　　使用CSVDE导入用户
　　CSVDE这个命令行工具，可以利用现用的csv文件，实现批量导入(导出)AD对象。
　　CSVDE命令的基本语法：
　　csvde -i -f c:\filename.csv –k
　　具体的命令参数说明请使用csvde /?查看
　　其中“-i”参数指定为导入模式，不使用该参数默认为导出模式。-f 指定要导入或导出的路径和文件名。-k可以忽略已经存在、限制冲突和属性等错误。
　　首先在excel文件中设置好用户信息，然后将文件保存为csv格式文件。具体格式如图：

　　然后在cmd命令中输入 csvde -i –f D:\users.csv –k ，可以看到成功导入。

　　CSVDE命令是无法导入密码的，所以导入的用户都是禁用状态。如果需要批量设置密码、启用账号及设置首次登陆需要更改密码，可以使用如下命令：
　　dsquery user "ou=users,ou=long,dc=lab,dc=com" | dsmod user -pwd P@ssw0rd -mustchpwd yes –disable no

　　CSVDE导出用户信息，这里就不做演示，有兴趣可以可以自己尝试。使用Powershell来导出会比CSVDE更方便。
　　使用LDIFDE导入用户
　　ldifde.exe这个工具也可以导入AD对象。ldifde所倒入的信息文件格式为.ldf。ldifde和csvde一样都是不可以导入用户密码，但是ldifde可以修改现有对象的属性。
　　LDIFDE命令的基本语法：
　　ldifde -i -f c:\filename.ldf
　　具体的命令参数说明请使用 ldifde /? 查看。
　　LDIF文件格式：
　　DN:CN=Ray Wang,OU=long,dc=lab,dc=com
　　changetype:add
　　objectclass：user
　　samaccountname：ray.wang
　　userprincipalname:ray.wang@lab.com
　　givenname:Ray
　　sn:Wang
　　将以上保存成.ldf文件即可导入，这里就不演示了。
　　使用Poweshell导入导出用户
　　I.导入用户
　　Powershell对AD对象的管理功能远比csvde和ldifde强，而且powershell可以导入用户密码。
　　使用Powershell新建AD用户，可以使用New-ADUser，语法如下：
　　New-ADUser [-Name]  [-WhatIf] [-Confirm] [-AccountExpirationDate ] [-AccountNotDelegated ]
　　[-AccountPassword ] [-AllowReversiblePasswordEncryption ] [-AuthType  {Negotiate |
　　Basic}] [-CannotChangePassword ] [-Certificates ] [-ChangePasswordAtLogon ] [-City <
　　string>] [-Company ] [-CompoundIdentitySupported ] [-Country ] [-Credential ] [
　　-Department ] [-Description ] [-DisplayName ] [-Division ] [-EmailAddress ]
　　[-EmployeeID ] [-EmployeeNumber ] [-Enabled ] [-Fax ] [-GivenName ] [-HomeDi
　　rectory ] [-HomeDrive ] [-HomePage ] [-HomePhone ] [-Initials ] [-Instance
　　] [-KerberosEncryptionType  {None | DES | RC4 | AES128 | AES256}] [-LogonWorkstat
　　ions ] [-Manager ] [-MobilePhone ] [-Office ] [-OfficePhone ] [-Organizatio
　　n ] [-OtherAttributes ] [-OtherName ] [-PassThru] [-PasswordNeverExpires ] [-Passw
　　ordNotRequired ] [-Path ] [-POBox ] [-PostalCode ] [-PrincipalsAllowedToDelegateToAcc
　　ount ] [-ProfilePath ] [-SamAccountName ] [-ScriptPath ] [-Server ]
　　[-ServicePrincipalNames ] [-SmartcardLogonRequired ] [-State ] [-StreetAddress ] [-
　　Surname ] [-Title ] [-TrustedForDelegation ] [-Type ] [-UserPrincipalName ]
　　[]
　　创建单个用户示例，注意其中红色部分密码设置的格式：
　　New-ADUser -Name "Ray Wang" -SamAccountName ray.wang -UserPrincipalName ray.wang@lab.com -Giv
　　enName Ray -Surname Wang -DisplayName "Ray Wang" -AccountPassword (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force
　　) -ChangePasswordAtLogon $true -path "ou=it,ou=long,dc=lab,dc=com" -Enabled $true
　　注：如需增加更多属性，请参考语法中的属性字段。如果是系统是2008，则需要使用 Import-Module ActiveDirectory 倒入AD模块先，但在2012中会自动导入。
　　下面介绍使用powershell批量创建用户。
　　1.首先创建.csv格式用户信息表。

　　2.使用powershell命令导入csv中的用户信息
　　Import-Csv d:\adduser.csv | foreach {New-ADUser -Name $_.name -SamAccountName $_.samaccountna
　　me -UserPrincipalName $_.userprincipalname -GivenName $_.givenname -Surname $_.surname -DisplayName $_.displayname -Path
　　$_.path -AccountPassword (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force) -ChangePasswordAtLogon $true -Enabled
　　$true}

　　3.可以看到在IT和HR两个OU分别都创建了用户。

　　II.导出用户信息
　　利用Powershell可以将用户信息，比如最后一次登陆时间和修改密码时间，登录到等等信息
　　Get-ADUser这个命令就可以实现AD用户信息的查询
　　导出指定OU用户的登录到信息，最后一次登录和修改密码时间示例：
　　Get-ADUser -Filter * -Properties * -SearchBase "ou=it,ou=users,ou=long,dc=lab,dc=com" | Select-Object Name,passwordlastset,logonworkstations,lastlogondate | Export-Csv -NoTypeInformation -Encoding UTF8 -Path "d:\userinfo.csv"

　　其中信息空白是因为这些用户是新建的没有进行过登陆及密码修改.
　　至此，AD用户的管理及创建介绍都已完成，相对于csvde和ldifde，powrshell在运维过程中可以带来很大的便利，功能上也比csvde和ldifde更丰富。建议大家在平时学习下powershell的一些基本命令。