[玩转系统] 如何记录 OU 委派

作者：精品下载站日期：2024-12-14 20:54:53 浏览：14 分类：玩电脑

如何记录 OU 委派

Active Directory OU 上的权利委派是任何 AD 中的标准做法。委派允许您在各种情况下授予有限的访问权限：

启用您的第一级服务台重置密码（仅限）
允许您的 HR 服务帐户修改一组有限的用户属性（仅限）
允许您的动态组服务修改组成员身份（仅限）
ETC…

如果没有明确定义的策略，OU 委派在一段时间后可能会变得一团糟。

本文将向您展示如何重新掌控 OU 委派。使用简单的 PowerShell 脚本，您可以提取委托的概述，并可能确定一些清理候选者。

（如果您正在寻找有关 GPO 安全过滤的信息，请查看本文）

使用 PowerShell 提取 OU 委派

启动 PowerShell 提示符！首先，确保您有可用的 Active Directory PowerShell 模块（使用 DC 或安装远程服务器管理工具）。

使用以下命令可以轻松“抓取”OU：

$OUs = Get-ADOrganizationalUnit -Filter *

要获取给定 OU 的 ACL（访问控制列表），可以使用以下命令：

(Get-Acl -Path $OU.DistinguishedName).Access

每个 OU 上都存在大量 ACL，但其中大多数是继承的。因此，要确定您的 AD 中进行了哪些自定义委托，您应该仅关注非继承 ACL。

以下脚本使用上述命令来：

获取 AD 中的所有 OU
在所有 OU 上设置所有 ACL
列出所有未继承的 ACL

事情是这样的：

# Set up output file
$File = "OU_Delegation.txt"
"Path;ID;Rights;Type" | Out-File $File
# Import AD module
Import-Module ActiveDirectory
# Get all OU's in the domain
$OUs = Get-ADOrganizationalUnit -Filter *
$Result = @()
ForEach($OU In $OUs){
    # Get ACL of OU
    $Path = "AD:\" + $OU.DistinguishedName
    $ACLs = (Get-Acl -Path $Path).Access
    ForEach($ACL in $ACLs){
        # Only examine non-inherited ACL's
        If ($ACL.IsInherited -eq $False){
            # Objectify the result for easier handling
            $Properties = @{
                ACL = $ACL
                OU = $OU.DistinguishedName
                }
            $Result += New-Object psobject -Property $Properties
        }
    }
}
ForEach ($Item In $Result){
    $Output = $Item.OU + ";" + $Item.ACL.IdentityReference + ";" + $Item.ACL.ActiveDirectoryRights + ";" + $Item.ACL.AccessControlType
    $Output | Out-File $File -Append
    Write-Host $Output
}

只需几行代码即可完成实际工作。剩下的就是格式化结果以便于导入到 Excel。

您的输出可能与此类似（但要大得多）：

OU=Admins,DC=gigacorp,DC=local;Everyone;DeleteChild, DeleteTree, Delete;Deny
OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS;GenericRead;Allow
OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\Authenticated Users;GenericRead;Allow
OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\SYSTEM;GenericAll;Allow
OU=Admins,DC=gigacorp,DC=local;GIGACORP\Domain Admins;GenericAll;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Admins,DC=gigacorp,DC=local;BUILTIN\Print Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;Everyone;DeleteTree, Delete;Deny
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS;GenericRead;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\Authenticated Users;GenericRead;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\SYSTEM;GenericAll;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;GIGACORP\Domain Admins;GenericAll;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=Serveradmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Print Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;Everyone;DeleteTree, Delete;Deny
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS;GenericRead;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\Authenticated Users;GenericRead;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;NT AUTHORITY\SYSTEM;GenericAll;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;GIGACORP\Domain Admins;GenericAll;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Account Operators;CreateChild, DeleteChild;Allow
OU=GlobalAdmins,OU=Admins,DC=gigacorp,DC=local;BUILTIN\Print Operators;CreateChild, DeleteChild;Allow