ADUC MMC'de (Active Directory Kullanıcısı ve Bilgisayarları) Kayıtlı Sorguları Kullanma

Active Directory Kullanıcıları ve Bilgisayarları (ADUC) mmc konsolundaki Kayıtlı Sorgular, Active Directory nesnelerini seçmek için karmaşık LDAP filtreleri oluşturmanıza olanak tanır. Bu sorgular kaydedilebilir, düzenlenebilir ve diğer bilgisayarlara kopyalanabilir. Çeşitli kriterlere göre AD nesnelerini hızlı ve verimli bir şekilde bulmak için Active Directory kayıtlı sorgularını kullanabilirsiniz. Kayıtlı Sorgular, genel AD nesne yönetimi görevlerini hızlı bir şekilde gerçekleştirmenize yardımcı olabilir: bir etki alanındaki tüm devre dışı bırakılmış hesapların listesini görüntüleyin, belirli bir Exchange sunucusunda posta kutuları olan bir şirketin tüm kullanıcılarını seçin, vb.

Kaydedilmiş LDAP sorgularını kullanırken yönetici, Active Directory'nin farklı OU'larından (kapsayıcılarından) nesnelerle grup işlemleri gerçekleştirebilir. Örneğin, AD nesneleri/hesapları altında toplu kilitleme/kilidi açma/etkinleştirme/devre dışı bırakma, taşıma, silme, yeniden adlandırma işlemlerini gerçekleştirebilirsiniz. ADUC konsolundaki bu tür sorgular, Active Directory'deki kuruluş birimlerinin hiyerarşik yapısını atlamanıza ve gerekli tüm nesneleri düz bir tablo görünümünde toplamanıza olanak tanır.

Active Directory Kayıtlı Sorguları, ilk olarak Windows Server 2003'te kullanıma sunuldu ve daha sonraki Windows Server sürümlerinde daha fazla destek aldı. Kayıtlı AD sorgularını kullanmak için, bilgisayarınızda ADUC konsolu kurulu olmalıdır (RSAT yönetim araçlarının bir parçasıdır).

Active Directory MMC Konsolunda Kayıtlı Sorgu Nasıl Oluşturulur?

Nesneleri aramak için Active Directory Kullanıcıları ve Bilgisayarları konsolunda kaydedilmiş LDAP sorgularını kullanmanın birkaç tipik örneğine göz atalım. Diyelim ki aktif kullanıcı hesaplarının listesini, departman adlarını ve e-posta adreslerini görüntülememiz gerekiyor.

1. ADUC konsolunu açın (

   dsa.msc

   ), Kayıtlı Sorgular'ı sağ tıklayın ve Yeni - > Sorgu'yu seçin;

   

2. Ad kutusunda, ADUC konsolunda görüntülenecek kayıtlı sorgunun adını belirtin.

3. Sorgu kökü alanında, içinde arama yapmak istediğiniz kapsayıcıyı (OU) belirtebilirsiniz. Varsayılan olarak, sorgu kriterlerine göre arama tüm AD etki alanında gerçekleştirilir. Örneğimizde, Brasil kapsayıcısını seçerek arama kapsamını daraltacağız;

   

4. Ardından, Sorgu Tanımla düğmesini tıklayın ve Bul açılır listesinden Özel Arama'yı seçin;

   

5. Gelişmiş sekmesine gidin ve aşağıdaki LDAP sorgusunu LDAP sorgusunu girin kutusuna kopyalayın. Bu sorgu, etkin kullanıcı hesabını seçer (aşağıdaki tablodaki diğer LDAP sorgusu örneklerine bakın):

   (&(objectcategory=person)(objectclass=user)(!userAccountControl:1.2.840.113556.1.4.803:=2))

   

6. Tamam'ı tıklayarak değişiklikleri kaydedin;

7. ADUC konsolunda oluşturulan sorguyu seçin, nesne listesini oluşturmak için F5'e basın. Sonuç olarak, sağ pencerede LDAP sorgunuzla eşleşen bir kullanıcı listesi görünecektir;

   

8. Ek kullanıcı özniteliklerini (e-posta adresi, departman vb.) görüntülemek için ADUC konsolunda Görünüm menüsünü açın ve Sütun Ekle/Kaldır'ı seçin;

   

9. İstediğiniz sütunları ekleyin. 3 ek alan ekledik: Kullanıcı Oturum Açma Adı, E-Posta Adresi, Departman;

   

10. Ortaya çıkan kullanıcı hesapları listesi, daha fazla analiz için bir CSV veya TXT dosyasına kaydedilebilir ve Excel'e aktarılabilir. Bunu yapmak için kaydedilen sorguyu sağ tıklayın ve Listeyi Dışa Aktar menü öğesini seçin.

    Not.Ayrıca PowerShell kullanarak AD'den veri alabilir ve doğrudan bir Excel dosyasına kaydedebilirsiniz.

    

ADUC konsolunda, bunları bir ağaç yapısında organize eden bir dizi farklı kayıtlı sorgu oluşturabilirsiniz. Bu şekilde, ortak AD yönetim görevlerini hızlı bir şekilde gerçekleştirmek için uygun bir LDAP sorguları koleksiyonu oluşturabilirsiniz.

ADUC mmc ek bileşeni, Active Directory kayıtlı sorguları oluşturmak için çeşitli modları destekler. LDAP filtre kodunu her seferinde manuel olarak belirtmek gerekli değildir. AD sorgunuzu basit bir grafik sihirbazla oluşturabilirsiniz. AD nesnelerinin farklı özniteliklerini seçmeniz ve bunları istediğiniz kriterlere göre nesneleri aramak için kullanmanız yeterlidir. Örneğin, bir etki alanındaki tüm Windows Server bilgisayar nesnelerini listelemek için:

1. Bul -> Bilgisayarlar;

2. Gelişmiş sekmesine gidin;

3. Alanlar -> İşletim Sistemi;

4. -> olan yıldızlar kriterlerinizi belirtin

   Windows Server *

   

*

*Server*

Sorguyu kaydedin ve nesne listesini ADUC konsolunda yenileyin. Liste, etki alanınızdaki tüm Windows Server nesnelerini gösterecektir.

Kaydedilen sorgular, oluşturuldukları bilgisayarda yerel olarak depolanır. Ayarları içeren XML dosyası burada bulunur: C:\Users\%USERNAME%\AppData\Roaming\Microsoft\MMC\DSA). AD'ye kaydedilen sorguları bilgisayarlar arasında aktarmak için, sorguları dsa.msc'de XML dosyaları olarak içe/dışa aktarma özelliği vardır (Sorgu Tanımını Dışa Aktar/Sorgu Tanımını İçe Aktar).

Active Directory MMC için Yararlı Kayıtlı Sorgu Örnekleri

Aşağıdaki tablo, Active Directory nesnelerini seçmek için yaygın olarak kullanılan LDAP sorgularının örneklerini içerir. Bunları günlük kullanım için ADUC konsolunuza kaydedebilirsiniz.

Önce "Kayıtlı ADUC Sorgusu" gelir ve ardından "LDAP Filtresi" gelir.

Kullanıcı adında "admin" anahtar kelimesini arayın:

(objectcategory=group)(samaccountname=*admin*)

Açıklama alanında "hizmet" anahtar kelimesi bulunan kullanıcı hesaplarını arayın:

(objectcategory=person)(description=*service*)

Boş Active Directory gruplarını listeleyin (kullanıcısız):

(objectCategory=group)(!member=*)

“Parola asla sona ermez” seçeneğini etkinleştiren kullanıcılar:

(objectCategory=person)(objectClass=user)(userAccountControl:1.2.840.113556.1.4.803:=65536)

3 aydan uzun süredir şifresini değiştirmeyen kullanıcılar:

(&(sAMAccountType=805306368)(pwdLastSet<=132161330597286610))

Departman alanında "Satış " yazan kullanıcıları bulun:

(&(objectCategory=person)(objectClass=user)(department=*sales*))

Boş Profil Yolu özelliğine sahip kullanıcılar:

(objectcategory=person)(!profilepath=*)

Süresi dolmuş parolalara sahip aktif kullanıcı hesapları:

(objectCategory=person)(objectClass=user)(pwdLastSet=0)(!useraccountcontrol:1.2.840.113556.1.4.803:=2)

Devre dışı bırakılanlar hariç tüm AD kullanıcıları:

(objectCategory=person)(objectClass=user)(!useraccountcontrol:1.2.840.113556.1.4.803:=2)

Kilitli AD kullanıcı hesapları:

(objectCategory=person)(objectClass=user)(useraccountcontrol:1.2.840.113556.1.4.803:=16)

E-posta adresleri olan kullanıcılar:

(objectcategory=person)(mail=*)

E-posta adresi olmayan kullanıcılar:

(objectcategory=person)(!mail=*)

Exchange Adres Defterinden (GAL) gizlenen kullanıcılar::

(&(sAMAccountType=805306368)(msExchHideFromAddressLists=TRUE))

Etki alanına hiç oturum açmamış hesapların listesi (son oturum açma zamanı hakkındaki bilgiler, AD'deki Ek Hesap Bilgileri sekmesinde daha uygun bir görünümde elde edilebilir):

(&(objectCategory=person)(objectClass=user)(|(lastLogonTimestamp=0)(!(lastLogonTimestamp=*)))

Belirli bir zaman diliminde oluşturulan kullanıcı hesapları (2019'da):

(&(&(objectCategory=user)(whenCreated>=20190101000000.0Z&<=20200101000000.0Z&)))

Bu yıl oluşturulan AD kullanıcıları:

(&(&(&(objectClass=User)(whenCreated>=20200101000000.0Z))))

Windows 10 çalıştıran bilgisayarlar:

(&(objectCategory=computer)(operatingSystem=Windows 10*))

Belirli bir Windows 10 derlemesini çalıştıran bilgisayarlar (örneğin, Windows 10 1909'un yapı numarası 18363'tür):

(&(&(objectCategory=computer)(operatingSystem=Windows 10*)(operatingSystemVersion=*18363*)))

Etki alanı denetleyicileri dışındaki tüm Windows Server 2016'yı bulun:

(&(&(objectCategory=computer)(!(primaryGroupId=516)))(operatingSystem=Windows Server 2016*))

Tüm Microsoft SQL sunucuları:

(&(objectCategory=computer)(servicePrincipalName=MSSQLSvc*))

Tüm Exchange dağıtım grupları:

(&(objectCategory=group)(!groupType:1.2.840.113556.1.4.803:=2147483648))

Belirli bir SID'ye sahip AD nesnesini bulun:

(objectSID=S-1-5-21-87654321-12345678-5566443311-1231)

PowerShell'de LDAP Filtrelerini Kullanma

PowerShell konsolunda AD nesnelerini bulmak için yukarıdaki LDAP filtrelerini kullanabilirsiniz. PowerShell Active Directory modülündeki çoğu cmdlet'in özel bir özelliği vardır. LdapFilter parametresi. Bu parametrede LDAP sorgunuzu belirtmeniz gerekir. Örneğin:

Get-ADUser -LdapFilter "(&(objectCategory=person)(objectClass=user)(department=*Sales department*))"| ft -a DisplayName,department

Get-ADUser, Get-ADComputer ve Get-ADGroup cmdlet'i özel cmdlet'lerdir ve belirli türdeki nesneleri (kullanıcılar, bilgisayarlar veya gruplar) bulmak için kullanılır. İstediğiniz AD nesnesinin türünü bilmiyorsanız veya tüm nesne türleri hakkında bilgiye ihtiyacınız varsa, daha yaygın olan Get-ADObject cmdlet'ini kullanın. Örneğin, bir nesneyi SID'ye göre aramak için:

Get-ADObject -LdapFilter "(objectSID=S-1-5-21-87654321-12345678-5566443311-1231)" -Properties * -SearchBase “OU=DE,DC=a-d,DC=com"| ft -a DisplayName,Title