如何获取重要 Active Directory 组更改的通知

作为 Active Directory 管理员，您可能熟悉域管理员、架构管理员和企业管理员等重要组。当某个帐户是其中一个或多个组的成员时，该帐户在您的 AD 环境中拥有一些主要权力。正如俗话所说，“权力越大，责任越大”，这些群体的成员必须值得信任。每当入侵者或心怀不满的员工成为这样的重要团体的成员时，你的日子就会很糟糕。你应该像鹰一样监视重要的群体。但如何呢？我很高兴你问了。

监视重要 Active Directory 组的一种方法是通过计划任务和 Windows PowerShell 脚本。使用远程服务器管理工具 (RSAT) 包中的 Active Directory 模块，您可以远程查询任何 AD 组的成员。将该功能与通过计划任务按循环计划运行相结合，您就拥有了一个不错的自制审核解决方案。

为此，需要脚本运行组成员资格查询以及创建计划任务本身，我也将通过脚本创建该任务。让我们开始吧。

在我们收到更改通知之前，我们首先需要查询组成员身份。使用 Get-AdGroupMember PowerShell cmdlet 可以非常轻松地实现这一点。使用此 cmdlet，您只需使用 Identity 参数并指定组名称，它将立即返回该组内的所有成员。

您可以在我的示例中看到，我有一个名为 TestGroup 的组，里面有两个成员； 访客和管理员。现在，我将删除 Guest 帐户作为测试，然后再次运行它。

现在该组中的唯一成员是管理员。管理员。伟大的！ 我们现在已经测试了删除成员的场景。现在我们来测试一下，如果我添加会员，是否可以得到会员资格的变化。

成功！我现在确认我可以检测帐户是否已从 AD 组中添加或删除。这一切都很好，但我不打算一整天自己一遍又一遍地运行它，只是为了看看是否有什么改变。自动化拯救了一切！

现在，让我们再次添加一个组成员，这一次，我们不是简单地观察差异，而是在其中添加一些代码，以便 PowerShell 检测差异。在此示例中，我再次将 Guest 帐户添加到 TestGroup 中，但这一次捕获了变量更改之前和之后组的状态。通过这样做，我现在可以进行简单的比较，并且可以轻松地看到来宾帐户已添加。

完全相同的策略也可用于任何被删除的成员。

我们已经创建了代码来收集两个不同州的组成员资格，现在还可以比较这两个州的组成员资格变化。接下来是什么？

下一步是将此代码滚动到脚本中，以便将其提升到下一个级别。我创建了一个示例脚本来演示这个概念。该脚本采用了这个概念并随之运行。该脚本只是此代码可以完成的操作的示例。它不仅可以检测更改，还可以针对多个组执行此操作，写入包含状态信息的日志文件，还可以将包含组成员身份的 CSV 文件保存到磁盘，以便在重新启动时保存。

最后，有一个简短的页面介绍了检测谁将用户添加到域管理员组中。这再次将这个概念提升到了一个完全不同的水平，因为我在这里提供的脚本只是检测到更改，而不是实际执行者。 Netwrix Auditor 已经内置了我们今天讨论的所有这些功能。除非您确实愿意，否则无需摆弄脚本。使用他们的 Netwrix Auditor 软件产品，在 AD 组中添加或删除用户时的审核非常简单。如果您想要这个以及更高级的审核功能，我建议您检查一下。