PowerShell - Aus dem AD die Gruppenmitgliedschaft eines Nutzers lesen
Frage
Antworten
-
Ich würde in so einem Fall dann doch auf den Komfort der AD-Cmdlets verzichten und den ADSI-Provider bemühen.
#https://gallery.technet.microsoft.com/scriptcenter/f7b246a4-95a2-4408-b1a1-73b53003883c
#https://social.technet.microsoft.com/wiki/contents/articles/4231.working-with-active-directory-using-powershell-adsi-adapter.aspx
Function Get-DistinguishedName ($strUserName)
{
$searcher = New-Object System.DirectoryServices.DirectorySearcher([ADSI]'')
$searcher.Filter = "(&(objectClass=User)(samAccountName=$strUserName))"
$result = $searcher.FindOne()
Return $result.GetDirectoryEntry().DistinguishedName
}
$userdn = Get-DistinguishedName ($env:USERNAME)
$user = [ADSI]"LDAP://$userdn"
$groups = $User.MemberOf | ForEach-Object {[ADSI]"LDAP://$_"} | Where {$_.cn -like "MAIL_*"}
foreach ($group in $groups)
{
#Hier kann nun beliebiger Code folgen der etwas mit den Gruppenmitgliedschaften anstellen soll
Write-Host $group.cn
}Besser? :D ;)
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
- Bearbeitet SandroReiter Dienstag, 14. März 2017 07:32
- Als Antwort vorgeschlagen Denniver ReiningMVP, Moderator Donnerstag, 16. März 2017 13:55
- Als Antwort markiert Denniver ReiningMVP, Moderator Freitag, 17. März 2017 13:03
Alle Antworten
-
und diese MAIL_-Postfächer dann zuweist.
Was meinst Du mit zuweisen? Die Gruppenmitgliedschaft im AD scheint ja schon zu existieren.
Meinst Du die Einbindung in Outlook?
Wo wird das Skript laufen? Server, Admin-PC oder beim User selbst?
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
- Bearbeitet SandroReiter Montag, 13. März 2017 07:34
-
Habt Ihr einen Exchange Server? Was für Postfächer sind das? Freigegebene Postfächer bindet Outlook automatisch ein (siehe Antwort von Chris).
Wenn es Benutzerpostfächer sind, haben die MAIL_* Gruppen die entsprechenden Berechtigungen zum Öffnen des Postfachs oder muss da ein Service-Benutzer zur Authentifizierung mit übergeben werden?
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
- Bearbeitet SandroReiter Montag, 13. März 2017 09:23
-
$strUserName = "Gust.Bayrhammer"
$strUser = get-qaduser -SamAccountName $strUserName
$Mitgliedschaft = $strUser.memberofDie Fehler solltest Du natürlich nicht mit kopieren ;)
http://stackoverflow.com/questions/5072996/how-to-get-all-groups-that-a-user-is-a-member-of
Hier mal ein Anfang für Dich zum experimentieren:
$username = "hans.wurst" $memberof = Get-ADPrincipalGroupMembership -Identity $username | where {$_.name -like "MAIL_*"} foreach($group in $memberof) { #Hier kann nun beliebiger Code folgen der etwas mit den Gruppenmitgliedschaften anstellen soll, bspw. Einbindung der Postfaecher in Outlook Write-Host $group.name }
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
- Bearbeitet SandroReiter Montag, 13. März 2017 09:39
-
Add-Mailboxpermission und der User bekommt automatisch das Postfach hinzugefügt.
Ich denke eher in den Postfächern sind die Gruppen "MAIL_PostfachXYZ" hinterlegt, ansonsten wäre diese Gruppenmitgliedschaft beim User im AD ja sinnlos.
Auf die Frage ob Shared oder Benutzerpostfach gab's ja noch keine Antwort ...
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
-
Wenn das Script auf den User-Workstations laufen soll, bedenke bitte auch das dann die RSAT Tools überall installiert sein müssen - sonst gibt es die AD-CmdLets nicht.
Bei Windows 7 müssen diese zusätzlich nach der Installation noch explizit in den Features aktiviert werden.
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
- Bearbeitet SandroReiter Montag, 13. März 2017 11:40
-
...das wäre dann aber aus Kanonen auf Spatzen schießen, nicht? Ich würde in so einem Fall dann doch auf den Komfort der AD-Cmdlets verzichten und den ADSI-Provider bemühen. Oder, wenn die betreffenden "User" die Rechte dafür haben, die AD-Cmdlets per Remoting auf einem DC oder Management Server starten...
Man schießt so oft mit zu großen Kalibern auf kleine Ziele. Das MSU lässt sich ja zentral verteilen.
... aber ja, stimmt natürlich. :)
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
- Bearbeitet SandroReiter Dienstag, 14. März 2017 07:15
-
Ich würde in so einem Fall dann doch auf den Komfort der AD-Cmdlets verzichten und den ADSI-Provider bemühen.
#https://gallery.technet.microsoft.com/scriptcenter/f7b246a4-95a2-4408-b1a1-73b53003883c
#https://social.technet.microsoft.com/wiki/contents/articles/4231.working-with-active-directory-using-powershell-adsi-adapter.aspx
Function Get-DistinguishedName ($strUserName)
{
$searcher = New-Object System.DirectoryServices.DirectorySearcher([ADSI]'')
$searcher.Filter = "(&(objectClass=User)(samAccountName=$strUserName))"
$result = $searcher.FindOne()
Return $result.GetDirectoryEntry().DistinguishedName
}
$userdn = Get-DistinguishedName ($env:USERNAME)
$user = [ADSI]"LDAP://$userdn"
$groups = $User.MemberOf | ForEach-Object {[ADSI]"LDAP://$_"} | Where {$_.cn -like "MAIL_*"}
foreach ($group in $groups)
{
#Hier kann nun beliebiger Code folgen der etwas mit den Gruppenmitgliedschaften anstellen soll
Write-Host $group.cn
}Besser? :D ;)
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
- Bearbeitet SandroReiter Dienstag, 14. März 2017 07:32
- Als Antwort vorgeschlagen Denniver ReiningMVP, Moderator Donnerstag, 16. März 2017 13:55
- Als Antwort markiert Denniver ReiningMVP, Moderator Freitag, 17. März 2017 13:03
-
Wenn Deine Frage damit beantwortet ist, markiere hilfreiche Antworten doch bitte noch als solche mit einem Klick auf "Abstimmen" und Lösung(en) mit einem Klick auf "Als Antwort markieren".
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
-
Und was ist dazu Deine Frage? ;)In der letzten For-Each-Schleife müssten nun die dem Nutzer zugewiesenen Postfächer (MAIL_*) mit folgendem Befehl hinzugefügt werden:
Add-MailboxPermission -Identity $group.cn -User user -AccessRights FullAccess -InheritanceType All;
; falls ich das korrekt so ausführen könnte.
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
-
Erläutere mir bitte diesen Lösungsansatz. Das Standardpostfach des Domain-Users wird automatisiert hinzugefügt; die Funktionspostfächer allerdings nicht. Diese werden bisher per Hand hinzugefügt.
Wie ich verstanden habe hast Du ein AD + Exchange zur Verfügung.
Du möchtest die Funktionspostfächer bei den Benutzern in Outlook lokal einbinden.
Meine Herangehensweise wäre jetzt:
- AD-Gruppe anlegen bspw: MAIL_CHEF_FULLACCESS; _CALENDARONLY; usw.
- Diese Gruppe hinterlege ich beim Postfach chef@firma.de mit den entsprechenden Berechtigungen
Soll jetzt ein Mitarbeiter Zugriff auf das Postfach bekommen, dann füge ich max.mustermann nur der AD Gruppe MAIL_CHEF_FULLACCESS hinzu und fertig.
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
- Bearbeitet SandroReiter Dienstag, 21. März 2017 07:27
-
Danke ;)Sinnvoller Vorschlag;
das werde ich ausprobieren und würde mich ja freuen, wenn ich es auch auf diesem Weg ermöglichen kann ohne Skriptspielchen.
Wenn es klappt, freue ich mich über einen Klick auf "Abstimmen" für eine hilfreiche Antwort und/oder "Als Antwort markieren" wenn es Dein Thema ebenfalls beantwortet ;)
Der Grund, warum ich erst mal das Skript fertigstellen möchte, ist die Anforderung, es erst mal so zu versuchen.
Sehr guter Vorsatz! Auch wenn es am Ende vielleicht nicht zum Einsatz kommt, hast Du auf jeden Fall was dabei gelernt.
Sehr gern!Danke für die Hilfe! :)
Freundliche Grüße
Sandro
MCSA: Windows Server 2012
Fachinformatiker Fachrichtung Systemintegration (IHK, 07/2013)
