当新用户添加到 AD 组时如何提醒管理员

让我们看看当有人将新用户添加到重要的 Active Directory 安全组时如何创建一个简单的管理员通知系统。例如，您想要跟踪域管理员组的更改，并且如果向其中添加了新用户，您希望获得相应的通知（通过电子邮件或弹出警报消息）。

有以下几种实现方法：

1. 您可以在域控制器上启用事件审核，并跟踪向安全组添加新用户的事件（EventID 4728）；

2. 您可以将某个组的用户列表存储在本地文本文件中，并定期将其与域组的当前成员列表进行比较。

域控制器上添加用户到组的审计

如果在 GPO 部分计算机配置 -> Windows 设置 -> 安全设置 -> 高级审核配置 -> 帐户管理 -> 审核安全组管理中启用审核策略，则在将新用户添加到任何 Active Directory 组后，事件 ID 为 4732（成员已添加到启用安全功能的全局组）的事件将出现在安全日志中。

使用 PowerShell，您可以在安全日志中跟踪此事件。例如，让我们显示过去 24 小时内域控制器上具有此 ID 的所有事件。为了方便起见，我们将显示已更改的 AD 组的名称、添加的帐户的名称以及将此用户添加到该组的管理员。该脚本类似于如何获取过去 24 小时内创建的所有 Active Directory 用户一文中给出的脚本。

$CurrTime = (get-date) - (new-timespan -hour 24)
Get-WinEvent -FilterHashtable @{LogName="Security";ID=4732;StartTime=$CurrTime}| Foreach {
$event = [xml]$_.ToXml()
if($event)
{
$CurrTime = Get-Date $_.TimeCreated -UFormat "%Y-%d-%m %H:%M:%S"
$New_GrpUser = $event.Event.EventData.Data[0]."#text"
$AD_Group = $event.Event.EventData.Data[2]."#text"
$AdminWhoAdded = $event.Event.EventData.Data[6]."#text"
$dc = $event.Event.System.computer
$dc + “|” + $CurrTime + “|” + “|” + $AD_Group + “|” + $New_GrpUser + “|” + $AdminWhoAdded
}
}

然后在域控制器上创建一个新的调度程序任务，由 ID 为 4732 的事件触发。当该事件发生时，将向用户发送一条消息。 （使用 Windows 事件触发器将脚本附加到事件）。

但问题是只检查了一台DC的安全日志。如果用户已添加到另一个域控制器上的组，您将不会看到此事件。当然，你可以订阅几个DC的事件或者在每个控制器上运行脚本，但是如果域中有很多DC，那就不是很方便。

提示。循环检查域中的所有 DC 并从中收集事件的示例如下所示（代码示例取自文章如何跟踪谁在 Active Directory 中重置用户密码）：

$time = (get-date) - (new-timespan -hour 124)
$DCs = Get-ADDomainController -Filter *
foreach ($DC in $DCs){
Get-WinEvent -ComputerName $DC -FilterHashtable @{LogName="Security";ID=4732;StartTime=$Time}| Foreach {
$event = [xml]$_.ToXml()
if($event)
{
CurrTime = Get-Date $_.TimeCreated -UFormat "%Y-%d-%m %H:%M:%S"
$New_GrpUser = $event.Event.EventData.Data[0]."#text"
$AD_Group = $event.Event.EventData.Data[2]."#text"
$AdminWhoAdded = $event.Event.EventData.Data[6]."#text"
$dc = $event.Event.System.computer
$dc + “|” + $CurrTime + “|” + “|” + $AD_Group + “|” + $New_GrpUser + “|” + $AdminWhoAdded
}
}
}

让我们考虑另一种方法。

将域组的当前成员与保存的模板进行比较

让我们使用 Get-ADGroupMember cmdlet 显示“Domain Admin”组中的用户列表，并将结果列表保存到文本文件中（我们正在构建包括嵌套组的递归用户列表）：

(Get-ADGroupMember -Identity "Domain Admins" -recursive).Name | Out-File C:\PS\DomainAdmins.txt

然后将新用户添加到“Domain Admins”组，并将用户列表再次保存到另一个文件中：

(Get-ADGroupMember -Identity "Domain Admins" -recursive).Name | Out-File C:\PS\DomainAdminsActual.txt

现在比较两个文件并在列表中显示差异：

$old_adgroup_members=GC C:\PS\DomainAdmins.txt
$new_adgroup_members=GC C:\PS\DomainAdminsActual.txt
$diff=Compare-Object -ReferenceObject $old_adgroup_members -DifferenceObject $new_adgroup_members | Select-Object -ExpandProperty InputObject
write-host $diff

显示添加到AD组的新帐户。

您还可以在控制台中显示消息：

$result=(Compare-Object -ReferenceObject $old_adgroup_members -DifferenceObject $diff | Where-Object {$_.SideIndicator -eq "=>"} | Select-Object -ExpandProperty InputObject) -join ", "
If ($result)
{msg * "A user $result has been added to Domain the Admins group"}

或者使用 Send-MailMessage cmdlet 发送电子邮件：

If ($result)
{Send-MailMessage -SmtpServer war-msg01 -From ADGroupChanges@a-d.site -To admin@a-d.site -Subject "A user $result has been added to the Domain Admins group" -Body "Created on $date" -Priority High}

您可以将此脚本保存到文件 admins_group_changes.ps1 并使用任务计划程序定期运行它（您可以使用 PowerShell 创建计划任务）。创建一个新的调度程序作业，该作业将每 24 小时运行一次 PowerShell 脚本。它将比较域管理员组的成员与本地保存的列表。

$Trigger= New-ScheduledTaskTrigger -At 17:00am -Daily
$User= "NT AUTHORITY\SYSTEM"
$Action= New-ScheduledTaskAction -Execute "PowerShell.exe" -Argument "C:\PS\admins_group_changes.ps1 "
Register-ScheduledTask -TaskName "Check Domain Group Changes" -Trigger $Trigger -User $User -Action $Action -RunLevel Highest -Force

因此，域管理员组的成员将每天检查一次，如果有任何更改，管理员将收到警报（通过弹出窗口或通过电子邮件）。