10 คำสั่ง PowerShell เพื่อจัดการ Active Directory ได้ดียิ่งขึ้น
PowerShell ได้รับการพัฒนาเพื่อให้การดำเนินงานด้านไอทีและงานการดูแลระบบในระบบปฏิบัติการ เช่น Active Directory สามารถลดความซับซ้อนและเป็นอัตโนมัติ เพื่อประหยัดเวลาและความพยายามได้มหาศาล
PowerShell สามารถผสานรวมกับบริการและแอปพลิเคชันเพื่อช่วยให้ผู้ดูแลระบบสามารถควบคุมการจัดการทั้งไคลเอนต์และเซิร์ฟเวอร์ได้อย่างสมบูรณ์ ทุกครั้งที่มีการอัพเดตเฟรมเวิร์กพื้นฐาน PowerShell จะมีความก้าวหน้ามากขึ้น และมีคุณสมบัติต่างๆ เพิ่มมากขึ้น
10 คำสั่ง PowerShell เพื่อจัดการ Active Directory ได้ดียิ่งขึ้น
ด้วยเหตุนี้ เรามาดู PowerShell cmdlet ที่ใช้กันทั่วไปบางส่วนซึ่งสามารถช่วยคุณลดความซับซ้อนและทำให้การจัดการ Active Directory ของคุณเป็นไปโดยอัตโนมัติ
ก่อนที่คุณจะเริ่มต้น คุณจะต้องนำเข้า Module Active Directory หากไม่นำเข้าโมดูลที่เกี่ยวข้องลงในเซสชัน PowerShell คุณจะไม่สามารถเรียกใช้ cmdlets ใด ๆ ในรายการด้านล่างได้
1. สร้างวัตถุคอมพิวเตอร์ใหม่
ใช้ New-ADComputer PowerShell cmdlet เพื่อสร้างวัตถุคอมพิวเตอร์ใหม่
New-ADComputer -Name "ComputerName" -SamAccountName "ComputerName" -Path "OU=Computers,DC=Domain,DC=com"
อย่าลืมว่าคุณจะต้องระบุชื่อคอมพิวเตอร์และชื่อบัญชี Sam เพื่อให้สคริปต์นี้ทำงานได้ หลังจากขอบเขตเส้นทาง คุณจะต้องระบุชื่อที่แตกต่างในเครื่องหมายคำพูด (ตำแหน่งที่จะสร้างวัตถุ)
2. สร้างกลุ่มความปลอดภัยใหม่
ใช้ New-ADGroup PowerShell cmdlet เพื่อสร้างกลุ่มใหม่
New-ADGroup -Name "Security Group Name" -SamAccountName "SecurityGroupName" -GroupCategory Security -GroupScope Global -DisplayName "Security Group Name" -Path "CN=Groups,DC=Domain,DC=com" -Description "Brief description of what the security group is used for"
3. สร้างบัญชีผู้ใช้ใหม่
ใช้ New-ADUser PowerShell cmdlet เพื่อสร้างผู้ใช้ใหม่
New-ADUser -Name "User Account Name" -SamAccountName "UserAccountName" -AccountPassword (ConvertTo-SecureString "password" -AsPlainText -Force) -DisplayName "User Name" -Enabled $True -GivenName "FirstName" -Path "CN=Users,,DC=Domain,DC=com" -Server "controller.domain.com" -Surname "LastName" -UserPrincipalName "username@domain.com"
New-ADUser ไม่มีพารามิเตอร์บังคับมากมาย แต่คุณสามารถใช้พารามิเตอร์ที่แตกต่างกันในขณะที่สร้างผู้ใช้ใหม่ได้ อ่านเพิ่มเติม
4. สร้าง OU ใหม่
ใช้ New-ADOrganizationalUnit PowerShell cmdlet เพื่อสร้าง OU ใหม่
New-ADOrganizationalUnit -Name "OU Name" -Path "DC=Domain,DC=com"
5. เพิ่ม/ลบผู้ใช้หรือวัตถุคอมพิวเตอร์ไปยัง/จากกลุ่ม
ใช้ Add-ADGroupMember PowerShell cmdlet เพื่อเพิ่มสมาชิกใหม่
Add-ADGroupMember SecurityGroupName -Members Username01
ใช้ Remove-ADGroupMember PowerShell cmdlet เพื่อลบสมาชิก
Remove-ADGroupMember SecurityGroupName -Members Username01
6. ค้นหารหัสผ่านที่เก็บไว้ในเครื่อง
ใช้ Get-AdmPwdPassword PowerShell cmdlet เพื่อค้นหารหัสผ่านที่จัดเก็บในเครื่อง
Get-AdmPwdPassword -ComputerName "computer.domain.net"สำหรับผู้ที่ต้องการวิธีที่ง่ายกว่าในการค้นหารหัสผ่านที่จัดเก็บไว้ในออบเจ็กต์คอมพิวเตอร์ จำเป็นต้องใช้ Local Administrator Password Solution (LAPS) จาก Microsoft มันฟรีและเป็นวิธีที่ยอดเยี่ยมในการแสดงรายละเอียดในรายงานเดียว แทนที่จะต้องผ่านแต่ละออบเจ็กต์เพื่อรับรหัสผ่าน
7. เพิ่มคอมพิวเตอร์ในโดเมน
User Add-Computer PowerShell cmdlet เพื่อเพิ่มคอมพิวเตอร์เครื่องใหม่
Add-Computer -DomainName "domain.com" -Credential Domain\Username -Restart -Force
8. เปิดหรือปิดการใช้งานผู้ใช้ คอมพิวเตอร์ และบัญชีบริการ
Enable-ADAccount -Identity "ComputerName"
Disable-ADAccount -Identity "Username"
9. ปลดล็อคบัญชีผู้ใช้
ใช้ Unlock-ADAccount PowerShell cmdlet เพื่อปลดล็อคบัญชี
Unlock-ADAccount -Identity "Username"
10. ค้นหาผู้ใช้ที่ไม่ได้ใช้งาน
ใช้ Search-ADAccount -AccountInActive PowerShell cmdlet เพื่อค้นหาบัญชีที่ไม่ได้ใช้งานใน Active Directory และนำเข้าเป็น CSV
Search-ADAccount -AccountInActive -TimeSpan 90:00:00:00 -ResultPageSize 2000 -ResultSetSize $null | ?{$_.Enabled -eq $True} | Select-Object Name, SamAccountName, DistinguishedName | Export-CSV “C:\Temp\InActiveUsers.CSV” -NoTypeInformation
ผู้ใช้ที่ไม่ได้ใช้งานจำนวนมากสามารถเพิ่มพื้นที่การโจมตีที่อาจเกิดขึ้นในองค์กรของคุณได้อย่างจริงจัง ผู้โจมตีมักใช้บัญชีเหล่านี้เพื่อใช้ประโยชน์จากการอนุญาตและย้ายข้ามเครือข่ายไปด้านข้าง cmdlet ด้านบนช่วยให้คุณสามารถระบุผู้ใช้ที่ไม่ได้ใช้งานเหล่านี้ได้ cmdlet นี้มีกรอบเวลาในการพิจารณาว่าผู้ใช้รายใดที่ไม่ได้ใช้งานในช่วง 90 วันที่ผ่านมา และส่งออกรายการเป็นไฟล์ CSV
คำสั่ง PowerShell เหล่านี้ควรช่วยคุณปรับปรุงการจัดการพื้นฐานของ Active Directory ของคุณให้ดียิ่งขึ้นไปอีก หากคุณต้องการทราบข้อมูลเพิ่มเติมเกี่ยวกับการเปลี่ยนแปลงที่เกิดขึ้นใน AD ของคุณ โปรดดูว่า Lepide Active Directory Auditor จะช่วยคุณได้อย่างไร