AD Benutzer anlegen mit Powershell - Quereinsteiger

Hi,

danke für eure ausführlichen Infos!

tl;dr: das geht leider nicht besser und man muss es so machen.

Also erstmal ist es anscheinend wirklich so, dass man die Primärgruppe nicht beim Anlegen festlegen kann. Das ist wohl ganz tief hardcoded, selbst die numerische ID ("By default all Active Directory users have a PrimaryGroupID of 513, which is associated with the Domain Users group."). Das ist sogar noch schlimmer, denn es kann sein, dass der neue User sofort auf andere AD repliziert wird, die entfernte Gruppenmitgliedschaft aber bis zu 30 Minuten dauern. Das findet man normal. Na ja, "the S in Active Directory stands for security" :D In meinem Fall ist das alles aber gar kein Problem.

Ach ja, und warum das ISE nicht ging: Ich habe dazu einen neuen User bekommen, mit dem ich auf nem TerminalServer arbeiten sollte. Der User hatte diese komischen defaults wie "Dateierweiterung nicht anzeigen". Die Template, die ich erweitern sollte (war im Wesentlichen ein Copyright drin), hieß "template.ps1.txt", wurde als "template.ps1" angezeigt, auch im ISE, aber weil es kein .ps1 war, hat ISE keine Features angeschaltet. Das ist also wie zu MS-DOS-Zeiten, da wird auf den Dateinamen bzw Erweiterung geguckt, die nicht einmal angezeigt wird, und damit soll man dann arbeiten... Das ist angeblich ein übliches Problem, wurde mir gesagt, aber da es hier auch keiner sofort gesehen hat, muss mir das ja nicht peinlich sein. Ausführen konnte ich es übrigens dennoch (also geschützt hätte das wohl kaum vor bösen Scripten). Nach dem Umbenennen ging dann TAB im ISE.

Lustig auch, warum es denn überhaupt ps1.txt hieß: das hat jemand von einem Kollegen per Mail gebekommen und umbenannt, damit es durch einen ganz tollen Virusscanner geht, yeah. Ich hätte ja gedacht, dass so "doppelte Erweiterungen (wie "naktbild.jpg.exe") gerade geblockt werden, aber hier wohl nicht).

Zur Gruppe, die Gruppe Domain Users ist ja oft schon ziemlich mächtig. Ich brauchte spezielle Accounts, die eben so wenig wie möglich dürfen sollen, damit die nichts (ausser sich selbst bzw ihre Daten) kaputt machen oder auslesen (Datenschutz) können, also nicht aus Versehen irgendwelche geteilten Ordner lesen oder so.

Danke für das Codebeispiele, aber macht ja dann Gruppe = Domain Users. Da muss man aufpassen, denn zusätzlich zur Migrationsgruppe hat der Benutzer dann vielleicht Leserechte auf irgendwelche "Gemeinsamen Ordner" oder so.

Warum man bei "False" nun ein Dollarzeichen voranstellen muss (und sonst nie), habe ich immer noch nicht verstanden, aber ist auch nicht wichtig, ist eben so.

Ich konnte bzw. wollte auch keine CSV auf den Server tun und wäre von der Versionsverwaltung schwierig, denn im Script sind PWs und das kann ich ja nicht einchecken. Vorgegangen bin ich daher noch etwas anders, und zwar habe ich mir einfach das PS Script aus CVS generieren lassen. Dazu hab ich mit nem simplen Bash-Loop sowas in der Art von

Das Script gen.sh ruft "pwgen -c -n -y -s 20 1" auf und entfernt dann im Wesentlichen ' aus den PWs, damit es keine Syntaxfehler gibt, und prüft policies (denn bei 100% Zufall kann es passieren, dass es z.b. kein Kleinbuchstaben gibt, und dann wird das PW aber nicht vom AD akzeptiert). Das *-nopws.ps1 enthält keine Passwörter und ist Teil der IT Dokumentation.

Bash hab ich genommen, weil das in PS eine Bildschirmseite Code geworden wäre. Damit fängt das PS Script an mit

(das PW ist natürlich ein anderes)

Ja prima, danke nochmal, ich wollte hier nur der Vollständigkeit halber das Ergebnis teilen.