Verwaltungsrechte für eine AD Gruppe (Managed by) per Script setzen ...

[Squire 261]

Hallo zusammen,

 

ich bin grad bisserl am Basteln (noch Urlaubszeit und noch wenig los).

 

Wir haben uns ein PowershellScript gebaut, bei dem wir einen Verzeichnisowner und einen Verzeichnisnamen per Variable angeben. Das Script legt dann in unserem DFS ein Verzeichnis an, es werden zwei korrespondierende AD Gruppen (Read/Modify)generiert, der Ownereintrag wird im Bemerkungsfeld der Gruppen eingetragen. Die Verzeichnisrechte werden durch das Script auf die beiden Gruppen gesetzt. Zusätzlich legt das Script eine "Verwaltungsgruppe" an. (Diese wird bisher manuell bei den zwei Gruppen als verwaltungsberechtigt eingetragen) 

 

... und hier hänge ich gerade. Wie setze ich per Script die Verwaltungsgruppe als Manager, der die beiden AD Gruppen verwalten kann? (Hintergrund: Ausgewählte Benutzer dürfen als Verzeichnisowner die Gruppenzugehörigkeiten selbst pflegen. (Nimmt uns viel Arbeit ab  )

 

Jemand ne Idee?

[cj_berlin 1.312]

Moin,

 

AD Rechte kannst Du genau so setzen wie Dateisystemrechte, per Get-ACL/Set-ACL und AD-Laufwerk ("AD:<distinguishedName>")

[Squire 261]

@cj_berlin sprich es ist nur das "Write Member" Recht bei der entsprechenden Gruppe zu setzen? Mehr nicht?

[cj_berlin 1.312]

Wenn alle Leserechte aus Authenticated Users unverändert sind, sollte das langen.

[testperson 1.675]

Hi,

 

wäre das nicht mit Set-ADGroup möglich?

Set-ADGroup XYZ-Read -ManagedBy XYZ-Owner
Set-ADGroup XYZ-Modify -ManagedBy XYZ-Owener

 

Gruß

Jan 

[cj_berlin 1.312]

vor 34 Minuten schrieb testperson:

Hi,

 

wäre das nicht mit Set-ADGroup möglich?

Set-ADGroup XYZ-Read -ManagedBy XYZ-Owner
Set-ADGroup XYZ-Modify -ManagedBy XYZ-Owener

 

Gruß

Jan 

Nein:

[Squire 261]

Ich hab noch bisserl gesucht und ein Codeschnipsel gefunden und für mich angepasst

 

# Verwaltungsrechte "Managed by" für die Managegroup setzen

$group = Get-ADGroup -Identity $WriteGroup
$manager = Get-ADGroup -Identity $Managegroup
$NTPrincipal = New-Object System.Security.Principal.NTAccount $manager.samAccountName
$objectGUID = New-Object GUID 'bf9679c0-0de6-11d0-a285-00aa003049e2'
$acl = Get-ACL "AD:$($group.distinguishedName)"
$ace = New-Object System.DirectoryServices.ActiveDirectoryAccessRule $NTPrincipal,'WriteProperty','Allow',$objectGUID
$acl.AddAccessRule($ace)
Set-ACL -AclObject $acl -Path "AD:$($group.distinguishedName)"

# damit es auch in der GUI mit angezeigt wird
Set-ADGroup $WriteGroup -ManagedBy $Managegroup

 

die ObjectGUID ist das ManageBy Feld

damit wird das WriteMember gesetzt und damit funktioniert auch das Verwalten für die Managegroup. Allerdings wird in der AD GUI das ManageBy nicht angezeigt - das bleibt leer

 

 

 

 

@testperson erst durch Deinen Hinweis mit dem SET-ADGroup wird es dann in der GUI mitangezeigt

 

bearbeitet 31. August 2022 von Squire

[cj_berlin 1.312]

vor 23 Minuten schrieb Squire:

 

@testperson erst durch Deinen Hinweis mit dem SET-ADGroup wird es dann in der GUI mitangezeigt

 

Das hat aber keinerlei Funktion, reine - wenn auch in einer ordentlichen Umgebung notwendige - Kosmetik.

[Squire 261]

Das ist richtig - aber somit sieht man halt gleich, dass die Gruppe gemanaged wird ... bei unserer Gruppenanzahl absolut notwendig, sonst blickt niemand mehr durch.

 

Unser Script macht jetzt was es soll und erspart uns einen Haufen Geklicke und verhindert auch Flüchtigkeitsfehler