שימוש בעורך התכונות במשתמשים ובמחשבים של Active Directory

Active Directory Attribute Editor הוא כלי גרפי מוכלל לניהול המאפיינים של אובייקטי AD (משתמשים, מחשבים, קבוצות). זהו עורך התכונות שבו באפשרותך להציג ולשנות את הערכים של תכונות אובייקט AD שאינן זמינות במאפייני האובייקט המוצגים במסוף ADUC.

הפיכת הכרטיסיה 'עורך תכונות' לזמינה במשתמשים ובמחשבים של Active Directory

כדי להשתמש בעורך התכונות של AD, עליך להתקין את

dsa.msc

יישום Snap-in (ADUC — Active Directory Users and Computers), המהווה חלק מ- RSAT (כלי ניהול של שרת מרוחק) עבור Windows. כדי להתקין את רכיבי הניהול של Active Directory, הפעל את הפקודה הבאה של PowerShell:

• ב-Windows 10 וב-Windows 11:

  Add-WindowsCapability -online -Name Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0

• ב- Windows Server 2022/2019/2016/2012R2, באפשרותך להתקין תפקידים ותכונות באמצעות ה- cmdlet Install-WindowsFeature:

  Install-WindowsFeature RSAT-ADDS

נסה לפתוח את המאפיינים של כל משתמש ב- AD. כפי שניתן לראות, כרטיסיות מסוימות עם תכונות המשתמש זמינות. הנה העיקריים שבהם:

• כללי - מאפייני המשתמש הבסיסיים המוגדרים בעת יצירת חשבון AD (שם פרטי, שם משפחה, מספר טלפון, כתובת דוא"ל וכו').

• כתובת

• חשבון - שם החשבון (samAccountName, userPrincipalName). כאן תוכל לציין את רשימת המחשבים שמשתמש יכול להיכנס אליהם (LogonWorkstations), או את האפשרויות הבאות: תפוגת סיסמה, משתמש לא יכול לשנות סיסמה, חשבון מופעל/מושבת, תאריך התפוגה של החשבון וכו '. כאן תוכל גם לאפשר למשתמש אם חשבונו ננעל עקב הזנת סיסמה שגויה על ידי מדיניות הסיסמאות של הדומיין;

• פרופיל - באפשרותך להגדיר נתיב לפרופיל משתמש (בתרחיש עם פרופילים נודדים), סקריפט כניסה, תיקיית בית ותיקיית רשת ממופה.

• טלפונים

• ארגון - תפקיד, מחלקה, חברה, שם מנהל;

• שלט רחוק - הגדרות לחיבור צל להפעלת המשתמש ב- Windows;

• הפעלות - פסקי זמן (מגבלות) עבור הפעלות RDP/RDS;

• חבר ב - רשימה של קבוצות Active Directory שהמשתמש חבר בהן.

כדי לשנות את הערך של אחת מתכונות המשתמש, פשוט שנה את הערך בשדה ושמור את השינויים על-ידי לחיצה על החל או אישור.

רק הערכה הבסיסית של מאפייני המשתמש זמינה עבורך בחלון זה, אך המחלקה User ב- AD מכילה הרבה יותר תכונות (200+).

כדי להפעיל את עורך התכונות המתקדם של Active Directory, סמן את האפשרות תכונות מתקדמות בתפריט תצוגת ADUC.

לאחר מכן פתח שוב את מאפייני המשתמש ושים לב שהופיעה כרטיסייה נפרדת של עורך התכונות. אם תעבור אליו, עורך התכונות של משתמש AD ייפתח. באפשרותך לראות את רשימת כל תכונות המשתמש וערכיהן בטופס הטבלה. ניתן ללחוץ על כל תכונה כדי לשנות את הערך שלה. לדוגמה, אם תשנה את הערך של התכונה 'מחלקה', תראה שגם שם המחלקה בכרטיסיה ארגון של מאפייני משתמש השתנה.

מעורך התכונות, באפשרותך להעתיק את הערך distinguishedName (בתבנית זו:

CN=Jon Brion,OU=Users,OU=California,OU=USA,DC=a-d,DC=com

— שם אובייקט ייחודי ב-AD), מצא את התאריך שבו נוצר החשבון (

whenCreated

), וכו'.

יש את הלחצן סנן בתחתית הטופס AD Attribute Editor. כברירת מחדל, רק תכונות אובייקט שאינן ריקות מוצגות בחלון התכונות (האפשרות הצג רק תכונות בעלות ערכים מסומנת). אם תבטל את הסימון, כל התכונות של מחלקת המשתמש יוצגו בעורך. כמו כן, שים לב לאפשרות הצג תכונות הניתנות לכתיבה בלבד. אם תהפוך אותה לזמינה, יוצגו רק התכונות שבהן מוקצות לך הרשאות העריכה (אם אין לך הרשאות שינוי בתכונות של משתמש זה, רשימת התכונות תהיה ריקה).

ניתן גם להציג רק את תכונות החובה עם האפשרות Filter -> Mandatory (עבור המשתמש, אלה הן

cn

,

objectCategory

,

objectClass

,

sAMAccountName

) או רק תוספת (תכונות אופציונליות) עם מסנן -> אופציונלי.

לרוב תכונות AD יש תכונת פענוח ערך מובנית. לדוגמה:

• באפשרותך לבדוק את זמן הכניסה האחרון של משתמש התחום על-ידי התכונה lastLogonTimestamp. כפי שניתן לראות, הזמן מוצג בדרך כלל בעורך התכונות, אך אם תלחץ עליו, תראה שלמעשה הזמן מאוחסן כערך חותמת זמן;

  

• מצב החשבון מאוחסן בתכונה userAccountControl. תראה תצוגה נוחה יותר במקום מסיכת סיביות. לדוגמה

  0x200 = (NORMAL_ACCOUNT)

  במקום 512;

  

• עם זאת, תמונת המשתמש ב- AD (תכונה thumbnailPhoto) אינה מוצגת ומאוחסנת בתבנית בינארית.

הכרטיסיה 'עורך תכונות' חסרה בתוצאות החיפוש של Active Directory

החיסרון העיקרי של AD Attribute Editor הוא שהוא לא יופיע במאפייני האובייקט אם מצאת אותו באמצעות חיפוש Active Directory. כדי להשתמש בעורך התכונות, עליך להרחיב את הגורם המכיל (יחידה ארגונית, OU) המכיל את האובייקט הדרוש לך בעץ AD, למצוא את האובייקט ברשימה ולפתוח את המאפיינים שלו (זה די לא נוח).

מצאתי טריק קטן המאפשר לך לפתוח את עורך התכונות עבור משתמש אם אתה מוצא את החשבון באמצעות חיפוש במסוף ADUC.

1. השתמש בחיפוש כדי למצוא את המשתמש הדרוש לך;

2. עבור אל הכרטיסייה עם רשימת קבוצות המשתמשים (חבר ב;

3. פתח את אחת הקבוצות (עדיף שהיא הכילה כמה שפחות משתמשים);

4. במאפייני הקבוצה, עבור אל הכרטיסיה חברים וסגור (!) את חלון מאפייני המשתמש;

   

5. לאחר מכן לחץ על המשתמש הדרוש לך ברשימת חברי הקבוצה וחלון מאפייני המשתמש עם הכרטיסייה עורך תכונות יופיע.

   

באפשרותך גם לפתוח את עורך התכונות באמצעות השאילתות השמורות של Active Directory. לדוגמה, באפשרותך להשתמש בשאילתה הבאה כדי לאתר משתמש לפי שמו:

(objectcategory=person)(samaccountname=*andrey*)

לחלופין, באפשרותך להשתמש ביישום ה- Snap-in החדש של מרכז הניהול של Active Directory (

dsac.msc

), כאשר הכרטיסייה Attribute Editor של המשתמש (מחשב) זמינה גם עבור תוצאות החיפוש (בדוק את הכרטיסיה Extension).

שינוי תכונות אובייקט Active Directory באמצעות עריכת ADSI

מסוף ADSI Edit (Active Directory Service Interface Edit) הוא כלי ברמה נמוכה יותר לניהול ולעריכה של אובייקטים ותכונות בספריות LDAP (כולל אלה שבמקטעים של מסד הנתונים של Active Directory, NTDS.dit). ניתן להשתמש במסוף ADSI Edit כדי לערוך תכונות, אובייקטים ומחיצות מדריך כתובות שאינם זמינים באמצעות רכיבי MMC סטנדרטיים של Active Directory snap-in, לתקן שגיאות Active Directory ואובייקטי שירות שונים המשתמשים ב- AD לאחסון התצורה שלהם (Exchange, SCCM).

כדי לפתוח את יישום ה- Snap-in של ADSI Edit, לחץ על Win + R והפעל את הלחצן

adsiedit.msc

פקודה.

בפעם הראשונה שתפעיל את מסוף ADSI, תתבקש לבחור את הקשר מתן השמות של Active Directory שאליו ברצונך להתחבר (פעולות > התחבר אל). הסעיפים הבאים זמינים:

• הקשר ברירת מחדל למתן שמות

• תצורה

• RootDSE

• סכימה

בדוגמה שלנו, נשתמש במסוף ADSI כעורך תכונות משתמש/מחשב, כך שעלינו להתחבר להקשר ברירת המחדל למתן שמות.

תראה את מבנה העץ שלך של מכולות ו- OU באלצהיימר. כאן תוכל למצוא את אובייקט Active Directory הרצוי ולפתוח את המאפיינים שלו. תראה את חלון עורך התכונות של האובייקט. כאן תוכל להציג או לשנות את הערכים של תכונות משתמש/מחשב/קבוצה.