Power Shell Domain Übergreifend AD Gruppen hinzufügen

[kleiner-romeo 10]

Hallo zusammen,

 

ich suche eine Möglichkeit mit powershell Globale Gruppen aus Domain A in Domain Local Gruppen in Domain B hinzuzufügen.

 

So quasi:

 

ADD-ADGroupMember "domainA.local\Global.GruppeX" -members "domainB.local\Local.GruppeX"

 

 

Der Kontext ist eine CIFS Daten Migration mit komplexer Verschachtelung. Z.B. Auf Ordner IT ist die domain local gruppe Schreiben und die domain local gruppe lesen. In der local Gruppe Schreiben ist eine global Gruppe IT-Schreiben und in der sind die User die Zugriff haben. In der Local Lesen ist auch die local Schreiben und die global Lesen.

Und um das ganze noch mal richtig komplex zu machen gibts noch 2 weitere Domains die in die neue Struktur umgezogen werden müssen. Hier haben wir das Konstrukt aus global und local auch erstellt nur zur Identifizierung noch dom1 und dom2 davor gehängt.

In der dom3 (zukünftige Haupt Domain) Domain Local IT-Schreiben sind 3 Gruppen dom1-global.It-schreiben, dom2 global.it-schrieben und dom3-global.it-schreiben. Und das hinzufügen von dom1 und dom2 soll per script erfolgen da wir mehrere Gruppen haben.

 

[NilsK 2.934]

Moin,

 

und was genau ist jetzt deine Frage?

 

Gruß, Nils

PS. Es heißt SMB, nicht CIFS.

[MurdocX 951]

Get-ADGroupMember -Identity '(DomainA) GRUPPE-X' | Add-ADGroupMember -Identity '(DomainB) GRUPPE-X'

Suchst du ungefähr sowas? Falls ich das richtig verstanden habe, möchtest du die Mitglieder einer Gruppe auch in der anderen Domäne in eine Gruppe packen?

 

Vielleicht liegt´s an mir, aber ich verstehe deine Beschreibung leider nicht...

bearbeitet 22. Juni 2016 von MurdocX

[kleiner-romeo 10]

Get-ADGroupMember -Identity '(DomainA) GRUPPE-X' | Add-ADGroupMember -Identity '(DomainB) GRUPPE-X'

Suchst du ungefähr sowas? Falls ich das richtig verstanden habe, möchtest du die Mitglieder einer Gruppe auch in der anderen Domäne in eine Gruppe packen?

 

Vielleicht liegt´s an mir, aber ich verstehe deine Beschreibung leider nicht...

 

 

Ja genau! Die frage war wie bringe ich die unterschiedlichen Domains unter? Funktioniert das mit - identity ´(domainA) Gruppe´ ?

 

Innerhalb der Domain haben wir z.B.

ADD-ADGroupMember "share_Azubis.dl_cifs_ro" -members "share_Azubis.g_dept_ro"

 

und da brauch ich halt die andere Domain rein. Also Quasi:

ADD-ADGroupMember "share_Azubis.dl_cifs_ro" -members "domainB\B_share_Azubis.g_dept_ro"

 

 

Sorry wenn ich mich da nicht so verständlich ausgedrückt hab.

[MurdocX 951]

Ja genau! Die frage war wie bringe ich die unterschiedlichen Domains unter? Funktioniert das mit - identity ´(domainA) Gruppe´ ?

Add-ADGroupMember -Server 'Domaincontroller.DomäneA.local' -Credential $(Get-Credential)

Hier kannst du "Server" für den anderen DC nutzen und natürlich dann "Credential" für die Authentifizierung. Damit kannst du zu anderen Servern eine Verbindung aufbauen

 

Falls du mehrere verschachtelte Abfragen machen möchtest, kannst du die Server in eine Variable schreiben und mit "ForEach" oder "ForEach-Object" abklappern.

bearbeitet 22. Juni 2016 von MurdocX

[kleiner-romeo 10]

Ok. Cool.

 

Hmm aber irgend wie springt er nicht zwischen den Servern.

 

Wenn ich auf dem DC: dc1.domain1.rzneu.local den Befehl

ADD-ADGroupMember -Server "dc2.domain2.rzstgt.local" -credential $(get-credential) "stgt_0001.g_dept" -members "0001.dl_cifs"

Bekomme ich die Fehler Meldung: cannot find an object with identity: `0001.dl.cifs` under: DC=domain2, DC=rzstgt, DC=local

 

Aber 0001.dl_cifs ist in der Domain: domain1.rzneu.local

 

Muss ich den Server auch noch mal eintragen? 

Ahh!

 

Ich denke ich hab eine Lösung. Man muss erst die Gruppe fetchen, sprich:

$group=get-adgroup "Gruppe-X" -server "dc.domain.rz.local"

Und dann kann ich sie normal hinzufügen:

add-adgroupmember "gruppe-y" -Members $group

Leider kann ich das nicht Pipen oder in eine Zeile bringen. Hat da noch jemand ne Idee?

bearbeitet 23. Juni 2016 von kleiner-romeo

[Dukel 454]

Wieso muss das in einer Zeile?

Aber versuche mal:

 

 

add-adgroupmember "gruppe-y" -Members (get-adgroup "Gruppe-X" -server "dc.domain.rz.local")

[kleiner-romeo 10]

Super! Funktioniert! Danke!!

 

Bei meinem zwei Zeiler hat er mich unterbrochen also ich musste die zweite Zeile noch mal mit enter bestätigen.