Powershell, чтобы запутать пользователя AD, который был отключен за последние 6 месяцев?

Предполагая, что вы хотите найти учетные записи, которые были изменены с включенных на отключенные в течение последних 6 месяцев, ваш второй скрипт не скажет вам об этом. Вы просто находите аккаунты, которые отключены и не использовались более 6 месяцев. Или, в лучшем случае, вы можете изменить это, чтобы предоставить вам учетные записи, которые отключены и последний раз обновлялись за последние 6 месяцев. Но некоторые из них могли быть отключены более 6 месяцев назад.

Первый сценарий даст вам то, что вы хотите, поскольку с помощью Get-ADReplicationAttributeMetadata< /a> позволяет узнать, когда был изменен конкретный атрибут. Таким образом, вы можете узнать, когда был изменен атрибут userAccountControl. Но он нуждается в некоторой модификации.

# When an account is disabled, the userAccountControl attribute is set to 514.

Это не обязательно правда. Атрибут userAccountControl представляет собой битовый флаг, означающий, что каждый бит в двоичном значении — это флаг, который означает что-то другое (1 = включено, 0 = выключено). Так что десятичное значение на самом деле не имеет никакого значения. Чтобы узнать, отключена ли учетная запись, вам нужно посмотреть на второй бит. Для этого вы используете побитовый оператор -band.

Этот сценарий также указывает на localhost, что означает, что вам придется запускать его на контроллере домена. Но вы можете легко изменить это, чтобы найти контроллер домена, на который можно указать.

Я также добавил условие в Get-ADObject, чтобы найти только учетные записи, которые были изменены за последние 6 месяцев, поскольку, если учетная запись была отключена менее 6 месяцев назад, это, безусловно, означает, что она была изменена менее 6 месяцев назад. Это уменьшает количество учетных записей, для которых вы должны вызывать Get-ADReplicationAttributeMetadata, уменьшая количество времени, которое потребуется для запуска этого скрипта. (Обратите внимание на одинарные кавычки вокруг фильтра, это важно из-за того, как PowerShell обрабатывает дату.)

$sixMonthsAgo = (Get-Date).AddDays(-180)

$disabledUsers = Get-ADObject -Filter 'ObjectClass -eq "User" -and whenChanged -ge $sixMonthsAgo -and UserAccountControl -band 2'

$server = Get-ADDomainController

foreach ($disabledUser in $disabledUsers)
{
    Get-ADReplicationAttributeMetadata $disabledUser -Server $server -Properties UserAccountControl |
    Where-Object { $_.AttributeName -eq 'UserAccountControl' } | Select Object, LastOriginatingChangeTime |
    Where-Object { $_.LastOriginatingChangeTime -gt $sixMonthsAgo }
}

(По какой-то причине я обнаружил, что Get-ADReplicationAttributeMetadata не дает мне никаких данных, когда я запускаю этот скрипт в PowerShell ISE, но он отлично работает, когда я копирую/вставляю в обычное окно PowerShell. Не знаю почему, но стоит упомянуть )

Технически это все еще не может точно определить, когда учетная запись была отключена, поскольку она ищет любое изменение в userAccountControl. Возможно, что, например, кто-то установил для учетной записи «неограниченный срок действия пароля» после того, как учетная запись была отключена, что также изменит атрибут userAccountControl, и этот скрипт будет искать дату «неограниченный срок действия пароля». "изменить, а не отключить дату. Но в большинстве случаев такого не происходит.

Я бы сделал это так:

# Midnight 180 days ago
$CutoffDate = [DateTime]::Today.AddDays(-180)

$UsersDisabledAfterCutoff = Search-ADAccount -AccountDisabled -UsersOnly |
    Get-ADReplicationAttributeMetadata -Server $DomainController -Properties UserAccountControl |
    Where-Object LastOriginatingChangeTime -ge $CutoffDate |
    Select-Object -Property Object, LastOriginatingChangeTime

Команда Search-ADAccount позволяет легко находить категории учетных записей, не заморачиваясь с битовыми масками. Вам определенно стоит взглянуть на документация для будущего использования, потому что она обрабатывает огромный объем работы для такого рода вещей.

Команда Get-ADReplicationAttributeMetadata позволяет указать нужные свойства, что снижает объем работы для всех. В этой команде тоже есть параметр -Filter, но я считаю, что его производительность иногда ужасна.