Групповые политики Active Directory

Введение

С увеличением парка компьютеров на предприятии все более остро встаёт вопрос о стоимости его управления и содержания. Ручная настройка компьютеров отнимает немало времени у персонала и заставляет, с увеличением количества компьютеров, увеличивать штат обслуживающего их персонала. К тому же при большом количестве машин следить за соблюдением принятых на предприятии стандартов настройки становится всё труднее. Групповые политики (Group Policy) являются комплексным инструментом централизованного управления компьютерами с ОС Windows 2000 и выше в домене Active Directory. К компьютерам под управлением ОС Windows NT4/9x групповые политики не применяются: они управляются системными политиками (System Policy), которые в данной статье рассматриваться не будут.

Управление объектами групповой политики с помощью сценариев.

Автоматизируйте стандартные задачи, связанные с групповыми политиками
Наличие механизма групповых политик всегда являлась одной из главных отличительных черт Active Directory (AD), а в операционной системе Windows Server 2003 компания Microsoft существенно расширила функциональность объектов групповой политики (GPO) и возможность управления им, дополнив консоль MMC оснасткой Group Policy Management Console (GPMC). Компонент GPMC является довольно масштабным и достаточно сложным инструментом, поэтому для того, чтобы научиться максимально использовать все преимущества GPO в своей инфраструктуре необходимо хорошо разбираться в предмете. Чтобы получить базовые знания по GPMC, рекомендую вам прочитать статью Microsoft «Enterprise Management with the Group Policy Management Console» (http://www.microsoft.com/…/gpmc), а также познакомиться со справочником по GPMC Group Policy Management Console Reference на Web-сайте Microsoft http://msdn.microsoft.com/…/reference.asp. Отсюда же можно загрузить и саму эту оснастку.

Обновление атрибутов AD без проблем.

Используем ADSI для чтения обновляемых значений из таблицы Excel

В тех компаниях, которые используют Active Directory (AD) для хранения информации о пользователях, часто возникают проблемы, связанные с необходимостью обновления информации для большой группы людей. Например, если некоторое подразделение компании в полном составе куда-либо переезжает, то возникает задача обновления информации в AD об адресах и телефонах сотрудников данного подразделения. В таких случаях обычно пользуются файлами в формате LDIF (Lightweight Directory Access Protocol (LDAP) Data Interchange Format) совместно с утилитой ldifde.exe либо разрабатывают специальные сценарии, использующие функциональность ADSI (Active Directory Service Interfaces). Однако создавать LDIF–файлы для выполнения подобных обновлений – дело непростое, поскольку при формировании таких файлов может потребоваться большое количество манипуляций со строковыми данными. Решение, построенное на базе специальных сценариев ADSI, позволяет лучше контролировать процесс внесения изменений – в этом случае можно создавать удалять или изменять объекты любым, наиболее удобным для вас способом (например, можно изменять формат номера телефона, изменять регистр символов со строчных на прописные и т.д.) – но при этом необходимо найти способ извлечения обновленной информации и ее чтения внутри сценариев.

Обновление атрибутов в AD—возвращаясь к теме

Доработка сценария позволяет использовать в нем вместо DN имена пользователей

В статье «Обновление атрибутов AD без проблем» был описан сценарий, с помощью которого можно обновлять атрибуты объектов Active Directory (AD), используя для этого данные из файлов формата CSV (значения, разделяемые запятой) или из электронных таблиц Excel. С момента публикации данной статьи мне пришло большое количество писем от администраторов из разных стран мира. В этих письмах говорится, что описанный в статье сценарий updateattribs.vbs позволил им сэкономить массу времени при выполнении повседневных работ по поддержанию актуальности данных о пользователях в AD при различных перемещениях и слияниях внутри их предприятий.Для того чтобы использовать updateattribs.vbs вы должны знать отличительные (DN) имена тех пользовательских объектов, атрибуты которых предполагается изменить. Эти данные легко получить с помощью таких утилит командной строки Microsoft как ldifde.exe, csvde.exe, или dsquery.exe. Тем не менее, в письмах многих администраторов содержались вопросы о том, как можно получить данные об именах DN пользователей, поэтому я решил несколько упростить данный сценарий, с тем чтобы в качестве входных данных для него можно было бы использовать обычные имена пользователей. Кроме этого я изменил неименованные параметры на именованные.