Полезные командлеты Powershell для Active Directory

[Engineer]

Предлагаю собрать здесь полезные командлеты powershell для работы с AD, которые необходимы на каждый день.
Необходимо включить поддержку модуля Active Directory в Server Manager
(Add Roles and Features -> Features -> Remote Server Administration tools -> Role Administration Tools -> AD DS and AD LDS Tools -> Active Directory module for Windows PowerShell)

Install-WindowsFeature -Name "RSAT-AD-PowerShell" –IncludeAllSubFeature

Либо просто выкачать RSAT для своей версии винды и импортировать модуль для службы каталогов:
Выполняем в powershell

import-module activedirectory

Создание пользователя в Active Directory через powershell

New-ADUser -Name "Ivan Ivanov" -GivenName "Ivan" -Surname "Ivanov" -SamAccountName "iivanov" -UserPrincipalName "iivanov@contoso.com " -Path "OU=Users,OU=Orenburg,DC=contoso,DC=com" -AccountPassword(Read-Host -AsSecureString "Password") -Enabled $true

 

[GoodWIN]

Получение справочной информации по командлету, например

c:\> get-help set-aduser -detailed
c:\> get-help get-aduser –examples

Если вы выполняете это первый раз то будут установлены компоненты справки, нужно будет подождать

 

[GoodWIN]

Создание нового пользователя в Active Directory средствами PowerShell

C:\> New-ADUser –Name "John Smith" –SamAccountName JohnS –DisplayName "John Smith" –Title "Account Manager" –Enabled $true –ChangePasswordAtLogon $true -AccountPassword (ConvertTo-SecureString "[FONT=Open Sans][SIZE=13px]password[/SIZE][/FONT]" -AsPlainText -force) -PassThru

Создание новой группы в Active Directory средствами PowerShell

C:\> New-ADGroup -Name "Account Managers" -SamAccountName AcctMgrs -GroupScope Global -GroupCategory Security -Description "Account Managers Group" –PassThru

Создание нового подразделения (OU) в Active Directory

C:\> New-ADOrganizationalUnit -Name Buhgalteriya -ProtectedFromAccidentalDeletion $true  -PassThru

 

[dimon]

Поиск всех пользователей в Active Directory начинающихся с имени Иван

C:\> Get-ADUser -Filter { name –like "Иван*" }

 

[NanoSuit]

Добавить пользователя в группу через Powershell

C:\> Add-ADGroupMember -Identity AcctMgrs -Members Иван

Посмотреть кто входит в группу VIPs

C:\> Get-ADGroupMember -Identity VIPs

Посмотреть список групп в которые входит пользователь Иван

C:\> Get-ADPrincipalGroupMembership -Identity Иван

 

[Apossum]

Разблокировать учетную запись

C:\> Unlock-ADAccount -Identity Иван

 

[Anatoly]

Получение всех контроллеров домена в лесу Active Directory

Get-ADDomainController -Filter { name -like "*" }

Тоже но с форматированием:

Get-ADDomainController –filter * | select hostname,IPv4Address,IsGlobalCatalog,IsReadOnly,OperatingSystem | format-table –auto

 

[LayLa]

Сброс пароля пользователя через Powershell

Set-ADAccountPassword ivanov -Reset -NewPassword (ConvertTo-SecureString -AsPlainText “NewPassWord” -Force -Verbose) –PassThru

 

[Goblin]

Поиск неактивных учетных записей компьютеров в Active Directory, которые не регистрировались более 60 дней

$timespan = New-Timespan –Days 60
Search-ADAccount -AccountInactive -ComputersOnly –TimeSpan $timespan | Disable-ADAccount

 

[Force]

Проверка репликации Active Directory через Powershell

Get-ADReplicationFailure -Target PDC01,PDC02

 

[Patrick]

Поиск пустых групп безопасности в Active Directory

C:\> get-adgroup -filter * | where {-Not ($_ | get-adgroupmember)} | Select Name

Advanced вариант

[/B]C:\> get-adgroup -filter "members -notlike '*' -AND GroupScope -eq 'Universal'" -SearchBase "OU=Groups,OU=Employees,DC=Globomantics, DC=local" | Select Name,Group*[B]

 

[Javac]

Поиск компьютеров по типу операционной системы

C:\> Get-ADComputer -Filter * -Properties OperatingSystem | Select OperatingSystem -unique | Sort OperatingSystem

Например поиск серверной винды

C:\> Get-ADComputer -Filter "OperatingSystem -like '*Server*'" -properties OperatingSystem,OperatingSystem ServicePack | Select Name,Op* | format-list

 

[Nick]

откуда то с хабра
Отчет о возрасте паролей юзеров в html файле

C:\> Get-ADUser -Filter "Enabled -eq 'True' -AND PasswordNeverExpires -eq 'False'" -Properties PasswordLastSet,PasswordNeverExpires,PasswordExpired | Select DistinguishedName,Name,pass*,@{Name="PasswordAge"; Expression={(Get-Date)-$_.PasswordLastSet}} |sort PasswordAge -Descending | ConvertTo-Html -Title "Password Age Report" | Out-File c:\Work\pwage.htm

 

[quake]

Добавить компьютер в домен

 Add-Computer -DomainName "domain.com" -Credential Domain\Username -Restart -Force

Поиск отключенных учетных записей через powershell

 Search-ADAccount -AccountDisabled | FT Name,ObjectClass

 

[deadushka]

PowerShell умеет сбрасывать пароль компьютера и восстанавливать безопасное соединение с доменом.
Для сброса учетной записи компьютера и защищенного канала можно использовать командлет Test-ComputerSecureChannel

Восстановление доверительных отношений в домене

Test-ComputerSecureChannel -Server "controller.domain.com"

Еще пример

Test-ComputerSecureChannel -Server SRV7 -Credential Contoso\Administrator -Repair

Для сброса учетной записи компьютера и защищенного канала можно использовать такую команду:

Test-ComputerSecureChannel -Server SRV7 -Credential Contoso\Administrator -Repair

где SRV7 — контролер домена

 

[Hyper]

Командлет который возвращает наследование групповых политик

Get-GPInheritance -target «ou=MyOU,dc=contoso,dc=com»

Предварительно необходимо импортировать модуль в powershell

import-module grouppolicy

 

[zero]

Найти отключенные учетные записи

Get-ADUser -Properties LastLogonTimeStamp -Filter * -SearchBase ‘OU=Users,OU=OFFICE,DC=DOMEN,DC=local’| ?{$.Enabled –eq $False} | Sort LastLogonTimeStamp | ft Name, @{N='lastlogontimestamp'; E={[DateTime]::FromFileTime($.lastlogontimestamp)}}

 

[deadushka]

Посмотреть кто в группе
Get-AdGroupMember GROUPNAME | Select Name, SamAccountName | Sort-Object Name

 

[deadushka]

Список пользователей в группе и экспортом в файл
Get-ADGroupMember -Recursive GROUPNAME | ForEach {Get-ADUser -filter {samaccountname -eq $_.SamAccountName} -Properties Name, Department, title, extensionAttribute1, mobile} | Export-CSV -Path c:\TEMP\file.csv -NoTypeInformation -Delimiter ";"

 

[Xeno]

Поиск любого атрибута в AD , например поиск proxy адреса в Exchange
Get-AdUser -Filter * -Properties Name, proxyAddresses | where {$_.proxyAddresses -like '*ivano*'}