Mentett lekérdezések használata az ADUC MMC-ben (Active Directory User and Computers)

Az Active Directory felhasználók és számítógépek (ADUC) mmc konzoljában található Mentett lekérdezések segítségével összetett LDAP-szűrőket hozhat létre az Active Directory-objektumok kiválasztásához. Ezek a lekérdezések menthetők, szerkeszthetők és más számítógépekre másolhatók. Az Active Directory mentett lekérdezések segítségével gyorsan és hatékonyan kereshet AD-objektumokat különböző feltételek alapján. A mentett lekérdezések segítségével gyorsan elvégezheti a gyakori AD-objektum-adminisztrációs feladatokat: megjelenítheti a tartomány összes letiltott fiókját, kiválaszthatja egy vállalat összes felhasználóját, akinek postafiókja van egy adott Exchange-kiszolgálón stb.

Mentett LDAP-lekérdezések használatakor a rendszergazda csoportműveleteket hajthat végre az Active Directory különböző szervezeti egységeiből (tárolóiból) származó objektumokkal. Például végrehajthat tömeges zárolást/feloldást/engedélyezést/letiltást, áthelyezést, törlést és átnevezést az AD objektumok/fiókok alatt. Az ADUC konzol ilyen lekérdezései lehetővé teszik az Active Directory szervezeti egységeinek hierarchikus struktúrájának megkerülését, és az összes szükséges objektum összegyűjtését egy lapos táblázatnézetben.

Az Active Directory mentett lekérdezések először a Windows Server 2003 rendszerben jelent meg, és további támogatást kapott a Windows Server későbbi verzióiban. A mentett AD-lekérdezések használatához telepítenie kell az ADUC konzolt a számítógépére (az RSAT adminisztrációs eszközei közé tartozik).

Hogyan lehet mentett lekérdezést létrehozni az Active Directory MMC konzolban?

Nézzünk meg néhány tipikus példát az Active Directory felhasználók és számítógépek konzolon az objektumok keresésére használt mentett LDAP-lekérdezések használatára. Tegyük fel, hogy meg kell jelenítenünk az aktív felhasználói fiókok listáját, részlegneveiket és e-mail címeiket.

1. Nyissa meg az ADUC konzolt (

   dsa.msc

   ), kattintson jobb gombbal a Mentett lekérdezések lehetőségre, és válassza az Új - > Lekérdezés lehetőséget;

   

2. A Név mezőben adja meg az ADUC-konzolon megjelenítendő mentett lekérdezés nevét.

3. A Lekérdezés gyökér mezőben megadhatja azt a tárolót (OU), amelyben keresni szeretne. Alapértelmezés szerint a lekérdezési feltételek szerinti keresés a teljes AD-tartományon belül történik. Példánkban a keresési hatókört leszűkítjük a Brasil tároló kiválasztásával;

   

4. Ezután kattintson a Lekérdezés meghatározása gombra, és válassza ki az Egyéni keresés elemet a Keresés legördülő listából;

   

5. Lépjen a Speciális lapra, és másolja a következő LDAP-lekérdezést az Adja meg az LDAP-lekérdezést mezőbe. Ez a lekérdezés az engedélyezett felhasználói fiókot választja ki (lásd az alábbi táblázatban az LDAP-lekérdezések további példáit):

   (&(objectcategory=person)(objectclass=user)(!userAccountControl:1.2.840.113556.1.4.803:=2))

   

6. Mentse el a változtatásokat az OK gombra kattintva;

7. Válassza ki a létrehozott lekérdezést az ADUC konzolon, majd nyomja meg az F5 billentyűt az objektumlista összeállításához. Ennek eredményeként a jobb oldali ablakban megjelenik az LDAP-lekérdezésnek megfelelő felhasználók listája;

   

8. A további felhasználói attribútumok (e-mail cím, részleg stb.) megjelenítéséhez nyissa meg a Nézet menüt az ADUC konzolban, és válassza az Oszlopok hozzáadása/eltávolítása lehetőséget;

   

9. Adja hozzá a kívánt oszlopokat. 3 további mezőt adtunk hozzá: Felhasználói bejelentkezési név, E-mail cím, Osztály;

   

10. Az eredményül kapott felhasználói fiókok listája elmenthető CSV- vagy TXT-fájlba további elemzés céljából, és Excelbe importálható. Ehhez kattintson a jobb gombbal a mentett lekérdezésre, és válassza a Lista exportálása menüpontot.

    Megjegyzés. A PowerShell használatával is lekérhet adatokat az AD-ből, és közvetlenül Excel-fájlba mentheti.

    

Az ADUC konzolban számos különböző mentett lekérdezést hozhat létre, amelyek fastruktúrába rendezhetők. Ily módon kényelmes LDAP-lekérdezések gyűjteményét hozhatja létre a gyakori AD-adminisztrációs feladatok gyors végrehajtásához.

Az ADUC mmc beépülő modul számos módot támogat az Active Directory mentett lekérdezések létrehozására. Nem szükséges minden alkalommal manuálisan megadni az LDAP szűrőkódot. Az AD-lekérdezést egy egyszerű grafikus varázslóval hozhatja létre. Egyszerűen kiválaszthatja az AD-objektumok különböző attribútumait, és ezek segítségével kereshet objektumokat a kívánt feltételek szerint. Például egy tartomány összes Windows Server számítógép-objektumának listázásához:

1. Find -> Computers;

2. Lépjen a Speciális lapra;

3. Mezők -> Operációs rendszer;

4. Csillagok -> adja meg a kritériumokat

   Windows Server *

   

*

*Server*

Mentse a lekérdezést, és frissítse az objektumlistát az ADUC konzolon. A lista megjeleníti az összes Windows Server objektumot a tartományban.

A mentett lekérdezések helyileg azon a számítógépen tárolódnak, amelyen létrehozták őket. A beállításokat tartalmazó XML-fájl itt található: C:\Users\%USERNAME%\AppData\Roaming\Microsoft\MMC\DSA). Az AD-ben mentett lekérdezések számítógépek közötti átviteléhez van egy funkció a lekérdezések XML-fájlként történő importálására/exportálására a dsa.msc fájlban (Export Query Definition/Import Query Definition).

Hasznos mentett lekérdezési példák az Active Directory MMC-hez

Az alábbi táblázat példákat tartalmaz az Active Directory objektumok kiválasztásához gyakran használt LDAP-lekérdezésekre. Elmentheti őket ADUC konzoljára napi használatra.

Először jön a "Saved ADUC Query", majd az "LDAP szűrő".

Keressen rá az „admin” kulcsszóra a felhasználónévben:

(objectcategory=group)(samaccountname=*admin*)

Keressen felhasználói fiókokat a „szolgáltatás” kulcsszóval a leírás mezőben:

(objectcategory=person)(description=*service*)

Üres Active Directory-csoportok listázása (felhasználók nélkül):

(objectCategory=group)(!member=*)

Azok a felhasználók, akiknél a „Jelszó soha nem jár le” opció engedélyezve van:

(objectCategory=person)(objectClass=user)(userAccountControl:1.2.840.113556.1.4.803:=65536)

Felhasználók, akik több mint 3 hónapja nem változtatták meg jelszavukat:

(&(sAMAccountType=805306368)(pwdLastSet<=132161330597286610))

Keressen olyan felhasználókat, akiknél az „Értékesítés” felirat szerepel a részlegmezőben:

(&(objectCategory=person)(objectClass=user)(department=*sales*))

Üres Profile Path attribútummal rendelkező felhasználók:

(objectcategory=person)(!profilepath=*)

Aktív felhasználói fiókok lejárt jelszavakkal:

(objectCategory=person)(objectClass=user)(pwdLastSet=0)(!useraccountcontrol:1.2.840.113556.1.4.803:=2)

Minden AD-felhasználó, kivéve a letiltott:

(objectCategory=person)(objectClass=user)(!useraccountcontrol:1.2.840.113556.1.4.803:=2)

Zárolt AD felhasználói fiókok:

(objectCategory=person)(objectClass=user)(useraccountcontrol:1.2.840.113556.1.4.803:=16)

E-mail címmel rendelkező felhasználók:

(objectcategory=person)(mail=*)

E-mail cím nélküli felhasználók:

(objectcategory=person)(!mail=*)

Az Exchange-címjegyzékben (GAL) elrejtett felhasználók::

(&(sAMAccountType=805306368)(msExchHideFromAddressLists=TRUE))

A domainbe soha be nem jelentkezett fiókok listája (az utolsó bejelentkezési időre vonatkozó információk kényelmesebb nézetben érhetők el az AD További fiókinformációk lapján):

(&(objectCategory=person)(objectClass=user)(|(lastLogonTimestamp=0)(!(lastLogonTimestamp=*)))

Egy adott időszakban (2019-ben) létrehozott felhasználói fiókok:

(&(&(objectCategory=user)(whenCreated>=20190101000000.0Z&<=20200101000000.0Z&)))

Az idén létrehozott AD-felhasználók:

(&(&(&(objectClass=User)(whenCreated>=20200101000000.0Z))))

Windows 10 rendszert futtató számítógépek:

(&(objectCategory=computer)(operatingSystem=Windows 10*))

Adott Windows 10 buildet futtató számítógépek (például a Windows 10 1909 buildszáma 18363):

(&(&(objectCategory=computer)(operatingSystem=Windows 10*)(operatingSystemVersion=*18363*)))

Keresse meg az összes Windows Server 2016-ot, kivéve a tartományvezérlőket:

(&(&(objectCategory=computer)(!(primaryGroupId=516)))(operatingSystem=Windows Server 2016*))

Minden Microsoft SQL szerver:

(&(objectCategory=computer)(servicePrincipalName=MSSQLSvc*))

Minden Exchange terjesztési csoport:

(&(objectCategory=group)(!groupType:1.2.840.113556.1.4.803:=2147483648))

Adott SID-vel rendelkező AD objektum keresése:

(objectSID=S-1-5-21-87654321-12345678-5566443311-1231)

LDAP-szűrők használata a PowerShellben

A fenti LDAP-szűrők segítségével AD-objektumokat kereshet a PowerShell-konzolon. A PowerShell Active Directory modul legtöbb parancsmagja rendelkezik egy speciális LdapFilter paramétert. Ebben a paraméterben meg kell adnia az LDAP-lekérdezést. Például:

Get-ADUser -LdapFilter "(&(objectCategory=person)(objectClass=user)(department=*Sales department*))"| ft -a DisplayName,department

A Get-ADUser, a Get-ADComputer és a Get-ADGroup parancsmagok speciális parancsmagok, amelyek bizonyos típusú objektumok - felhasználók, számítógépek vagy csoportok - megkeresésére szolgálnak. Ha nem ismeri a kívánt AD-objektum típusát, vagy ha minden típusú objektumról információra van szüksége, használja a gyakoribb Get-ADObject parancsmagot. Például egy objektum SID alapján történő kereséséhez:

Get-ADObject -LdapFilter "(objectSID=S-1-5-21-87654321-12345678-5566443311-1231)" -Properties * -SearchBase “OU=DE,DC=a-d,DC=com"| ft -a DisplayName,Title