Criando um grupo dinâmico no Active Directory com usuários de uma UO

Gostaria de criar um grupo dinâmico com usuários de uma UO específica no meu Active Directory. Posso fazer isso perfeitamente usando a Lista de Distribuição Dinâmica do Exchange, mas é claro que os DDLs Ex são apenas para correio.

Existe alguma maneira de criar isso? Encontrei alguns guias usando o System Center para lidar com isso, mas o System Center não é uma opção.

Desde já, obrigado,

Não existe um grupo de segurança dinâmica no Active Directory, apenas grupos de distribuição dinâmica.

Para fazer isso, acho que a opção mais viável seria ter um script do Powershell determinando quem está na UO fornecida e atualizando o grupo de segurança de acordo, talvez assim:

Import-Module ActiveDirectory
$groupname = PseudoDynamicGroup
$users = Get-ADUser -Filter * -SearchBase "ou=desiredUsers,dc=domain,dc=tld"
foreach($user in $users)
{
  Add-ADGroupMember -Identity $groupname -Member $user.samaccountname -ErrorAction SilentlyContinue
}
$members = Get-ADGroupMember -Identity $groupname
foreach($member in $members)
{
  if($member.distinguishedname -notlike "*ou=desiredUsers,dc=domain,dc=tld*")
  {
    Remove-ADGroupMember -Identity $groupname -Member $member.samaccountname
  }
}

Estou respondendo minha própria pergunta. Com as idéias do Mathias do PowerShell, eu encontrei isso na internet:

https://github.com/davegreen/shadowGroupSync

Recursos

• Sincronize objetos de usuário ou computador de uma ou mais UOs para um único grupo.
• Capacidade de filtrar objetos incluídos no grupo de sombra usando o Filtro do Active Directory do PowerShell.
• Capacidade de escolher o tipo de grupo de sombra (Segurança / Distribuição).

O blog do autor contém informações adicionais sobre o design e os motivos da ferramenta.

Isso pode ser feito com o Adaxes. Tecnicamente, ele atualizará dinamicamente a associação ao grupo assim que os usuários forem atualizados / movidos. Aqui está um exemplo de como manter automaticamente a associação ao grupo com base no atributo Departamento, mas é muito fácil modificá-lo para fazer a mesma coisa com base na OU. http://www.adaxes.com/tutorials_AutomatingDailyTasks_AddUsersToGroupsByDepartment.htm

Também procurei uma maneira de criar grupos de segurança dinâmicos no Active Directory e cheguei à conclusão como Mathias. Minha solução não era tão elegante quanto a dele, eu uso um script do PowerShell agendado para remover todos os usuários dos grupos e preenchê-los com os usuários da UO. Além disso, assegurei-me de que os grupos de sub OUs fossem adicionados ao grupo de segurança das OUs pai onde ele coubesse.

import-module ActiveDirectory
Get-ADGroupMember OU_GroupName | % { Remove-ADGroupMember 'OU_GroupName' -Members $_ -Confirm:$false}
Get-ADUser -SearchBase 'OU=OUName,OU=ParentOUName,DC=DomainName,DC=TopDomainName' -Searchscope 1 -Filter * | % { Add-ADGroupMember 'OU_GroupName' -Members $_ }
Add-ADGroupMember -Identity "OU_ParentName" -Members "OU_ChildOneName", "OU_ChildTwoName", "OU_ChildThreeName"

Não tenho certeza se isso aumenta bem em uma grande empresa, mas o script usa apenas alguns minutos em nossa empresa de 300 usuários.

A maneira mais fácil é usar o DynamicGroup. http://www.firstattribute.com/en/active-directory/ad-automation/dynamic-groups/

Estamos executando-o em vários ambientes após uma migração do Novell para o Active Directory.

É um software para criar automaticamente grupos de UO, grupos de departamentos e assim por diante. Basta criar o filtro e pronto.

À declaração deixada por outro membro. Se você não executar isso em um Controlador de Domínio, precisará fornecer uma entrada estática substituindo $ domainController ou poderá adicionar outra, seguida de $ DomainController e passar essas informações.

Para adicionar um usuário a um grupo

Function AddUserToGroup($Group, $User, $DomainController)
{
 if(!(Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Add-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return  "The user: $User is already in the $group"
 }
}

Para remover um usuário, você pode fazer a mesma coisa.

Function RemoveUserFromGroup($Group, $User, $DomainController)
{
 if((Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Remove-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return "The user: $User is not a member of $group"
 }
}

Agora, para usar isso, você pode fazer isso ...

$Users = Get-Aduser -Filter *
Foreach($user in $users)
{
  AddUserToGroup "SomeGroup" $user.name "ServerName"  
}

ou

Seria melhor ter uma UO de usuários desabilitados ou algo em que isso possa ocorrer ou se você alternar UOs como site ou grupo

$Users = Get-Aduser -Filter * 
Foreach($user in $users)
{
  RemoveUserToGroup "SomeGroup" $user.name "ServerName"  
}