Restringimos a execução de exe em toda a organização. Mas, com base em justificativas e aprovações, adicionamos usuários a grupos de anúncios (específicos) por 24 horas.
Atualmente, o processo de remoção dos usuários desses grupos do AD após X horas é manual. Estou tentando automatizá-lo de alguma forma. Mas eu queria saber se existe alguma maneira nativa de lidar com isso no AD 2003. Escrever um script (powershell / vbs) é a única maneira de lidar com isso?
Respostas:
Supondo que todos os seus controladores de domínio sejam o Windows Server 2003 ou posterior, você pode fazer isso com a funcionalidade de objetos dinâmicos nativos do Active Directory sem nenhum script.
Digamos que uma conta de usuário, "Bob", precise estar no grupo "Contabilidade" por 24 horas.
Crie um grupo "Bob na contabilidade 24 horas" e especifique um entry-TTLpor 24 horas (a duração que você deseja que o grupo permaneça no Active Directory) no momento da criação.
Adicione o "Bob na contabilidade 24 horas" como membro do grupo "Contabilidade"
Adicione a conta de usuário "Bob" como membro do grupo "Bob na contabilidade 24 horas"
No próximo logon da conta de usuário "Bob", ele será membro do grupo "Contabilidade" por meio da associação aninhada do grupo "Bob na contabilidade 24 horas" no grupo "Contabilidade". No final de 24 horas, todos os controladores de domínio coletarão lixo o grupo "Bob na contabilidade 24 horas" e "Bob" não será mais um membro da "Contabilidade".
O truque é que objetos não dinâmicos não podem ser convertidos em dinâmicos após sua criação. O uso do agrupamento de grupos, no entanto, evita essa limitação nesse caso.
Você precisará usar uma ferramenta diferente de "Usuários e Computadores do Active Directory" para criar o grupo, pois precisará definir entry-TTLo horário no momento da criação do grupo. O script nesta entrada de blog pode ser um ponto de partida (criado para criar objetos de usuário) ou, alternativamente, você pode apenas usar ldifdeou csvdefazer a criação também.
Você pode lidar com isso de algumas maneiras, nenhuma é nativa do AD:
Escreva um script e coloque-o no agendador de tarefas. Faça com que ele consulte um arquivo de texto ou CSV em algum lugar da rede com a lista atual. Peça para remover pessoas que não estão nessa lista em tempo de execução.
Use algo como o System Center Orchestrator para criar um runbook para adicionar usuários ao grupo e removê-los após X horas automaticamente.
Faça um lembrete do Outlook para levar as pessoas manualmente :)