การใช้ Attribute Editor ในผู้ใช้ Active Directory และคอมพิวเตอร์

Active Directory Attribute Editor เป็นเครื่องมือกราฟิกในตัวสำหรับจัดการคุณสมบัติของวัตถุ AD (ผู้ใช้ คอมพิวเตอร์ กลุ่ม) เป็นตัวแก้ไขแอตทริบิวต์ที่คุณสามารถดูและเปลี่ยนค่าของแอตทริบิวต์ของวัตถุ AD ที่ไม่มีอยู่ในคุณสมบัติของวัตถุที่แสดงในคอนโซล ADUC

เปิดใช้งานแท็บตัวแก้ไขแอตทริบิวต์ในผู้ใช้ Active Directory และคอมพิวเตอร์

ในการใช้ AD Attribute Editor คุณต้องติดตั้ง

dsa.msc

สแน็ปอิน (ADUC — Active Directory Users and Computers) ซึ่งเป็นส่วนหนึ่งของ RSAT (Remote Server Administration Tools) สำหรับ Windows ในการติดตั้งคอมโพเนนต์การจัดการ Active Directory ให้รันคำสั่ง PowerShell ต่อไปนี้:

• บน Windows 10 และ 11:

  Add-WindowsCapability -online -Name Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0

• บน Windows Server 2022/2019/2016/2012R2 คุณสามารถติดตั้งบทบาทและคุณสมบัติโดยใช้ cmdlet ติดตั้ง WindowsFeature:

  Install-WindowsFeature RSAT-ADDS

ลองเปิดคุณสมบัติของผู้ใช้ใน AD อย่างที่คุณเห็น มีบางแท็บที่มีแอตทริบิวต์ผู้ใช้ นี่คือหลักของพวกเขา:

• ทั่วไป - คุณสมบัติผู้ใช้พื้นฐานที่ตั้งค่าเมื่อบัญชี AD ถูกสร้างขึ้น (ชื่อ นามสกุล หมายเลขโทรศัพท์ ที่อยู่อีเมล ฯลฯ)

• ที่อยู่

• บัญชี - ชื่อบัญชี (samAccountName, userPrincipalName) ที่นี่คุณสามารถระบุรายการคอมพิวเตอร์ที่ผู้ใช้สามารถเข้าสู่ระบบ (LogonWorkstations) หรือตัวเลือกต่อไปนี้: การหมดอายุของรหัสผ่าน ผู้ใช้ไม่สามารถเปลี่ยนรหัสผ่าน บัญชีที่เปิดใช้งาน/ปิดใช้งาน วันหมดอายุของบัญชี ฯลฯ ที่นี่ คุณยังสามารถเปิดใช้งานผู้ใช้ หากบัญชีของเขาถูกล็อคเนื่องจากการป้อนรหัสผ่านผิดตามนโยบายรหัสผ่านของโดเมน

• โปรไฟล์ - คุณสามารถกำหนดเส้นทางไปยังโปรไฟล์ผู้ใช้ (ในสถานการณ์ที่มีโปรไฟล์โรมมิ่ง) สคริปต์การเข้าสู่ระบบ โฮมโฟลเดอร์ และโฟลเดอร์เครือข่ายที่แมป

• โทรศัพท์

• องค์กร - ตำแหน่งงาน แผนก บริษัท ชื่อผู้จัดการ

• การควบคุมระยะไกล - การตั้งค่าสำหรับการเชื่อมต่อเงากับเซสชันของผู้ใช้ใน Windows

• เซสชัน - หมดเวลา (จำกัด) สำหรับเซสชัน RDP/RDS

• สมาชิกของ - รายการของกลุ่ม Active Directory ที่ผู้ใช้เป็นสมาชิกอยู่

หากต้องการแก้ไขค่าแอตทริบิวต์ของผู้ใช้ เพียงเปลี่ยนค่าในช่องและบันทึกการเปลี่ยนแปลงโดยคลิกนำไปใช้หรือตกลง

เฉพาะชุดคุณสมบัติผู้ใช้พื้นฐานเท่านั้นที่มีให้คุณในหน้าต่างนี้ แต่คลาสผู้ใช้ใน AD มีแอตทริบิวต์มากกว่า (200+)

ในการเปิดใช้ Active Directory Attribute Editor ขั้นสูง ให้ทำเครื่องหมายที่ตัวเลือก คุณลักษณะขั้นสูง ในเมนู มุมมอง ของ ADUC

จากนั้นเปิดคุณสมบัติผู้ใช้อีกครั้งและสังเกตว่ามีแท็บ ตัวแก้ไขแอตทริบิวต์ แยกต่างหากปรากฏขึ้น หากคุณเปลี่ยนไปใช้ ตัวแก้ไขแอตทริบิวต์ผู้ใช้ AD จะเปิดขึ้น คุณสามารถดูรายการแอตทริบิวต์ของผู้ใช้ทั้งหมดและค่าในแบบฟอร์มตาราง คุณสามารถคลิกแอตทริบิวต์ใดก็ได้เพื่อเปลี่ยนค่า ตัวอย่างเช่น หากคุณเปลี่ยนค่าของแอตทริบิวต์แผนก คุณจะเห็นว่าชื่อของแผนกในแท็บองค์กรของคุณสมบัติผู้ใช้ก็เปลี่ยนไปเช่นกัน

จาก Attribute Editor คุณสามารถคัดลอกค่า DistributedName (ในรูปแบบนี้:

CN=Jon Brion,OU=Users,OU=California,OU=USA,DC=a-d,DC=com

— ชื่อวัตถุเฉพาะใน AD) ค้นหาวันที่สร้างบัญชี (

whenCreated

) ฯลฯ

มีปุ่ม ตัวกรอง ที่ด้านล่างของแบบฟอร์มตัวแก้ไขแอตทริบิวต์โฆษณา ตามค่าเริ่มต้น เฉพาะแอตทริบิวต์ของวัตถุที่ไม่ว่างเปล่าเท่านั้นที่จะแสดงในหน้าต่างแอตทริบิวต์ (มีการเลือกตัวเลือกแสดงเฉพาะแอตทริบิวต์ที่มีค่า) หากคุณยกเลิกการเลือก คุณลักษณะทั้งหมดของคลาส User จะแสดงในตัวแก้ไข นอกจากนี้ โปรดสังเกตตัวเลือก แสดงเฉพาะแอตทริบิวต์ที่เขียนได้ หากคุณเปิดใช้งาน เฉพาะแอตทริบิวต์ที่คุณได้รับมอบสิทธิ์การแก้ไขเท่านั้นที่จะแสดง (หากคุณไม่มีสิทธิ์แก้ไขแอตทริบิวต์ของผู้ใช้รายนี้ รายการแอตทริบิวต์จะว่างเปล่า)

คุณยังสามารถแสดงเฉพาะแอตทริบิวต์บังคับด้วยตัวเลือกตัวกรอง -> บังคับ (สำหรับผู้ใช้ นี่คือ

cn

,

objectCategory

,

objectClass

,

sAMAccountName

) หรือเฉพาะเพิ่มเติม (แอตทริบิวต์ทางเลือก) ด้วยตัวกรอง -> ไม่บังคับ

แอตทริบิวต์ AD ส่วนใหญ่มีคุณสมบัติการถอดรหัสค่าในตัว ตัวอย่างเช่น:

• คุณสามารถตรวจสอบเวลาเข้าสู่ระบบครั้งล่าสุดของผู้ใช้โดเมนโดยใช้แอตทริบิวต์ lastLogonTimestamp อย่างที่คุณเห็น เวลาจะแสดงตามปกติในตัวแก้ไขแอตทริบิวต์ แต่ถ้าคุณคลิก คุณจะเห็นว่าเวลาจริงถูกเก็บเป็นค่าการประทับเวลา
  

  

• สถานะบัญชีถูกเก็บไว้ในแอตทริบิวต์ userAccountControl คุณเห็นมุมมองที่สะดวกกว่าแทนที่จะเป็นบิตมาสก์ ตัวอย่างเช่น,

  0x200 = (NORMAL_ACCOUNT)

  แทน 512;
  

  

• อย่างไรก็ตาม รูปภาพของผู้ใช้ใน AD (แอตทริบิวต์รูปขนาดย่อของรูปภาพ) จะไม่แสดงและจัดเก็บในรูปแบบไบนารี

แท็บตัวแก้ไขแอตทริบิวต์หายไปในผลการค้นหา Active Directory

ข้อเสียเปรียบหลักของ AD Attribute Editor คือจะไม่แสดงในคุณสมบัติของวัตถุ หากคุณพบโดยใช้การค้นหา Active Directory เมื่อต้องการใช้ตัวแก้ไขแอตทริบิวต์ คุณต้องขยายคอนเทนเนอร์ (หน่วยองค์กร, OU) ที่มีวัตถุที่คุณต้องการในแผนผังโฆษณา ค้นหาวัตถุในรายการ และเปิดคุณสมบัติของมัน (ค่อนข้างไม่สะดวก)

ฉันพบเคล็ดลับเล็กๆ น้อยๆ ที่ช่วยให้คุณเปิด Attribute Editor สำหรับผู้ใช้ได้ หากคุณพบบัญชีผ่านการค้นหาในคอนโซล ADUC

1. ใช้การค้นหาเพื่อค้นหาผู้ใช้ที่คุณต้องการ

2. ไปที่แท็บที่มีรายชื่อกลุ่มผู้ใช้ (สมาชิกของ);

3. เปิดหนึ่งในกลุ่ม (เป็นการดีกว่าที่จะมีผู้ใช้ให้น้อยที่สุด)

4. ในคุณสมบัติกลุ่ม ไปที่แท็บ สมาชิก และปิด (!) หน้าต่างคุณสมบัติผู้ใช้
   

   

5. จากนั้นคลิกผู้ใช้ที่คุณต้องการในรายชื่อสมาชิกกลุ่ม จากนั้นหน้าต่างคุณสมบัติผู้ใช้ที่มีแท็บ Attribute Editor จะปรากฏขึ้น
   

   

คุณยังสามารถเปิดตัวแก้ไขแอตทริบิวต์โดยใช้แบบสอบถามที่บันทึกไว้ใน Active Directory ตัวอย่างเช่น คุณสามารถใช้ข้อความค้นหาต่อไปนี้เพื่อค้นหาผู้ใช้ตามชื่อของผู้ใช้:

(objectcategory=person)(samaccountname=*andrey*)

หรือคุณสามารถใช้สแนปอิน Active Directory Administrative Center ใหม่ (

dsac.msc

) โดยที่แท็บ Attribute Editor ของผู้ใช้ (คอมพิวเตอร์) สามารถใช้ได้แม้ในผลการค้นหา (ตรวจสอบแท็บ ส่วนขยาย)

การปรับเปลี่ยนแอตทริบิวต์ของวัตถุ Active Directory ด้วย ADSI Edit

คอนโซล ADSI Edit (Active Directory Service Interface Edit) เป็นเครื่องมือระดับล่างสำหรับจัดการและแก้ไขวัตถุและแอตทริบิวต์ในไดเรกทอรี LDAP (รวมถึงในส่วนฐานข้อมูล Active Directory, NTDS.dit) สามารถใช้คอนโซลแก้ไข ADSI เพื่อแก้ไขแอตทริบิวต์ วัตถุ และพาร์ติชันไดเร็กทอรีที่ไม่พร้อมใช้งานผ่าน MMC สแน็ปอิน Active Directory มาตรฐาน แก้ไขข้อผิดพลาด Active Directory และวัตถุบริการต่างๆ ที่ใช้ AD เพื่อจัดเก็บการกำหนดค่า (Exchange, SCCM) .

ในการเปิดสแนปอิน ADSI Edit ให้กดปุ่ม Win + R แล้วเรียกใช้

adsiedit.msc

สั่งการ.

ครั้งแรกที่คุณเรียกใช้คอนโซล ADSI คุณจะได้รับพร้อมท์ให้เลือกบริบทการตั้งชื่อ Active Directory ที่คุณต้องการเชื่อมต่อ (การดำเนินการ -> เชื่อมต่อกับ) มีส่วนต่อไปนี้:

• บริบทการตั้งชื่อเริ่มต้น

• การกำหนดค่า

• รูตดีเอสอี

• สคีมา

ในตัวอย่างของเรา เราจะใช้คอนโซล ADSI เป็นตัวแก้ไขแอตทริบิวต์ของผู้ใช้/คอมพิวเตอร์ ดังนั้น เราจำเป็นต้องเชื่อมต่อกับ บริบทการตั้งชื่อเริ่มต้น

คุณจะเห็นโครงสร้างของคอนเทนเนอร์และหน่วยขององค์กรใน AD คุณสามารถค้นหาวัตถุ Active Directory ที่ต้องการและเปิดคุณสมบัติได้ที่นี่ คุณจะเห็นหน้าต่าง Attribute Editor ของวัตถุ คุณสามารถดูหรือเปลี่ยนค่าของแอ็ตทริบิวต์ผู้ใช้/คอมพิวเตอร์/กลุ่มได้ที่นี่