Powershell管理系列（一）Active Direcrtory管理:用户管理-阿里云开发者社区

通常我们都是用OU来对AD用户进行分类管理。开始之前先对组织单位(OU)概念进行介绍。
组织单位：OU 是一些 Active Directory 容器，可以在其中放置用户、组、计算机和其他 OU。OU 不能包含来自其他域中的对象。OU 是可以向其分配组策略设置或委派管理权力的最小作用域或单位。使用 OU 可以在域中创建表示组织中的层次结构、逻辑结构的容器。然后可以根据组织模型管理帐户和资源的配置和使用。
注意：OU不能用于为资源分配权限。
相对于OU，还有一些默认容器是安装AD DS是创建的。区分组OU和默认容器的方法看图标即可。这种图标的是OU，这种图标是默认容器。默认容器是无法链接组策略，只有OU才可以链接组策略，这也是为什么推荐大家使用OU来管理用户和计算机账号的原因，不建议大家直接把用户和计算机账号放在Users和Computers这两个默认容器。
一、OU设计及委派控制
1.根据不同的账号类型分别建立OU。

2.在用户账号OU下又可以按分别建立相应OU来管理各部门账号，这样也可以方便以后组策略的应用，因为可能各部门需要应用不同的策略。

3.OU委派管理。
OU委派管理在企业中经常用到，比如：让部门经理管理自己部门的账号或Helpdesk 来对AD账号进行维护，如果直接给Domain Admin 这肯定是不合适，权限过大，这是OU的委派控制就能起到作用。被委派的用户可以是Domain User，他们可以使用远程管理工具RSAT来对用户进行管理。
RSAT For Windows 7 SP1:http://www.microsoft.com/zh-cn/download/details.aspx?id=7887
RSAT For Windows 8:http://www.microsoft.com/zh-cn/download/details.aspx?id=28972

打开Active Directory用户和计算机，右击需要委派的OU，选择“委派控制”。

添加你想委派控制的用户或组。

根据需求选择需要委派的任务，如需委派更多权限可以选择自定义任务，最后点击“完成即可完成委派”

如果需要删除委派的话，打开高级功能，右击需要删除委派的OU，选择“属性”，在“安全”页面找到相应用户删除即可。

二.用户管理
使用CSVDE导入用户
CSVDE这个命令行工具，可以利用现用的csv文件，实现批量导入(导出)AD对象。
CSVDE命令的基本语法：
csvde -i -f c:\filename.csv –k
具体的命令参数说明请使用csvde /?查看
其中“-i”参数指定为导入模式，不使用该参数默认为导出模式。-f 指定要导入或导出的路径和文件名。-k可以忽略已经存在、限制冲突和属性等错误。
首先在excel文件中设置好用户信息，然后将文件保存为csv格式文件。具体格式如图：

然后在cmd命令中输入 csvde -i –f D:\users.csv –k ，可以看到成功导入。

CSVDE命令是无法导入密码的，所以导入的用户都是禁用状态。如果需要批量设置密码、启用账号及设置首次登陆需要更改密码，可以使用如下命令：
dsquery user "ou=users,ou=long,dc=lab,dc=com" | dsmod user -pwd P@ssw0rd -mustchpwd yes –disable no

CSVDE导出用户信息，这里就不做演示，有兴趣可以可以自己尝试。使用Powershell来导出会比CSVDE更方便。
使用LDIFDE导入用户
ldifde.exe这个工具也可以导入AD对象。ldifde所倒入的信息文件格式为.ldf。ldifde和csvde一样都是不可以导入用户密码，但是ldifde可以修改现有对象的属性。
LDIFDE命令的基本语法：
ldifde -i -f c:\filename.ldf
具体的命令参数说明请使用 ldifde /? 查看。
LDIF文件格式：
DN:CN=Ray Wang,OU=long,dc=lab,dc=com
changetype:add
objectclass：user
samaccountname：ray.wang
userprincipalname:ray.wang@lab.com
givenname:Ray
sn:Wang
将以上保存成.ldf文件即可导入，这里就不演示了。
使用Poweshell导入导出用户
I.导入用户
Powershell对AD对象的管理功能远比csvde和ldifde强，而且powershell可以导入用户密码。
使用Powershell新建AD用户，可以使用New-ADUser，语法如下：
    New-ADUser [-Name] <string> [-WhatIf] [-Confirm] [-AccountExpirationDate <datetime>] [-AccountNotDelegated <bool>]
     [-AccountPassword <securestring>] [-AllowReversiblePasswordEncryption <bool>] [-AuthType <ADAuthType> {Negotiate |
     Basic}] [-CannotChangePassword <bool>] [-Certificates <X509Certificate[]>] [-ChangePasswordAtLogon <bool>] [-City <
     string>] [-Company <string>] [-CompoundIdentitySupported <bool>] [-Country <string>] [-Credential <pscredential>] [
     -Department <string>] [-Description <string>] [-DisplayName <string>] [-Division <string>] [-EmailAddress <string>]
      [-EmployeeID <string>] [-EmployeeNumber <string>] [-Enabled <bool>] [-Fax <string>] [-GivenName <string>] [-HomeDi
     rectory <string>] [-HomeDrive <string>] [-HomePage <string>] [-HomePhone <string>] [-Initials <string>] [-Instance
     <ADUser>] [-KerberosEncryptionType <ADKerberosEncryptionType> {None | DES | RC4 | AES128 | AES256}] [-LogonWorkstat
     ions <string>] [-Manager <ADUser>] [-MobilePhone <string>] [-Office <string>] [-OfficePhone <string>] [-Organizatio
     n <string>] [-OtherAttributes <hashtable>] [-OtherName <string>] [-PassThru] [-PasswordNeverExpires <bool>] [-Passw
     ordNotRequired <bool>] [-Path <string>] [-POBox <string>] [-PostalCode <string>] [-PrincipalsAllowedToDelegateToAcc
     ount <ADPrincipal[]>] [-ProfilePath <string>] [-SamAccountName <string>] [-ScriptPath <string>] [-Server <string>]
     [-ServicePrincipalNames <string[]>] [-SmartcardLogonRequired <bool>] [-State <string>] [-StreetAddress <string>] [-
     Surname <string>] [-Title <string>] [-TrustedForDelegation <bool>] [-Type <string>] [-UserPrincipalName <string>]
     [<CommonParameters>]
创建单个用户示例，注意其中红色部分密码设置的格式：
New-ADUser -Name "Ray Wang" -SamAccountName ray.wang -UserPrincipalName ray.wang@lab.com -Giv
enName Ray -Surname Wang -DisplayName "Ray Wang" -AccountPassword (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force
) -ChangePasswordAtLogon $true -path "ou=it,ou=long,dc=lab,dc=com" -Enabled $true
注：如需增加更多属性，请参考语法中的属性字段。如果是系统是2008，则需要使用 Import-Module ActiveDirectory 倒入AD模块先，但在2012中会自动导入。
下面介绍使用powershell批量创建用户。
1.首先创建.csv格式用户信息表。

2.使用powershell命令导入csv中的用户信息
Import-Csv d:\adduser.csv | foreach {New-ADUser -Name $_.name -SamAccountName $_.samaccountna
me -UserPrincipalName $_.userprincipalname -GivenName $_.givenname -Surname $_.surname -DisplayName $_.displayname -Path
$_.path -AccountPassword (ConvertTo-SecureString "P@ssw0rd" -AsPlainText -Force) -ChangePasswordAtLogon $true -Enabled
$true}

3.可以看到在IT和HR两个OU分别都创建了用户。

II.导出用户信息
利用Powershell可以将用户信息，比如最后一次登陆时间和修改密码时间，登录到等等信息
Get-ADUser这个命令就可以实现AD用户信息的查询
导出指定OU用户的登录到信息，最后一次登录和修改密码时间示例：
Get-ADUser -Filter * -Properties * -SearchBase "ou=it,ou=users,ou=long,dc=lab,dc=com" | Select-Object Name,passwordlastset,logonworkstations,lastlogondate | Export-Csv -NoTypeInformation -Encoding UTF8 -Path "d:\userinfo.csv"

其中信息空白是因为这些用户是新建的没有进行过登陆及密码修改.
至此，AD用户的管理及创建介绍都已完成，相对于csvde和ldifde，powrshell在运维过程中可以带来很大的便利，功能上也比csvde和ldifde更丰富。建议大家在平时学习下powershell的一些基本命令。