AD User deaktivieren mit zeitlicher Steuerung

[slowjoe 10]

Hey folks,

 

folgendes Problem:

 

Wir haben einen account für externe Zugriffe. (Support für verschiedene Anwendungen), dieser wird immer nur bei Bedarf eingeschaltet.

Leider scheint es zu kompliziert zu sein, diesen anschließend wieder zu deaktivieren.

 

Da der account Dom-Admin, Schema-Admin usw. ist ist das natürlich nicht der breuler.

 

Daher: Gibt es ne Möglichkeit das im account so einzustellen, dass der user automatisch nach 12 Stunden abgemeldet wird?

 

Kontogültigkeit für ein Datum ist klar, mir geht es um die Möglichkeit das zeitgesteuert zu machen, ab dem Zeitpunkt des logins.

 

Jemand ne Idee?

 

mfg

slow

[Hirgelzwift 10]

ich verstehe den hintergrund des threads nicht ganz, daher eine antwort die es nicht ganz trifft. du kannst auch die logonzeiten steuern. also er darf von 8-8 meinetwegen aber nicht um 9, dann kann man noch einstellen per GPO das er dann zwangsabgemeldet wird wenn sein zeitlimit erreicht ist. das er nach 12 stunden fliegt kenne ich auf anhieb nicht. würde auch den sinn nicht verstehen weil er ja sich dann gleich wieder anmelden könnte.

[slowjoe 10]

ne was ich meinte ist folgendes:

 

Hier ruft der Herr X von Firma Y an und möchte an unserer Datenbank arbeiten.

 

In diesem Falle wird das Konto aktiviert.

 

Der User meldet sich an.

 

Wenn er fertig ist mit arbeiten, dann wird das Konto händisch wieder deaktiviert.

(Naja zumindest sollte das so sein, leider wird das immer vergessen)

 

Da es keine festen Zeiten gibt, wann oder wie lange der user arbeitet, war die Idee

es so einzurichten, dass das Konto automatisch x Stunden nach Anmeldung deaktiviert

wird. Also dass der user sich dann nicht mehr anmelden kann.

 

eins vorneweg:

Das es Schwachsinn ist einem externen und fremden user Dom-Admin/Schema-Admin Rechte zu geben und dann so ein gesch....ss um die Anmeldung zu machen ist mir auch klar, leider bin ich nicht derjenige der entscheidet.

 

Kam mein Problem jetzt besser rüber?

 

danke schonmal für die schnelle Antwort

 

slowjoe

[Operator 10]

Hi,

 

ich hätte vielleicht eine Möglichkeit. Allerdings erzwingt diese keine automatische Abmeldung und der Intervall der Gültigkeit lässt sich nur datumsbezogen konfigurieren.

Dennoch denke ich, daß die Lösung bei Dir ganz gut funktionieren könnte.

 

Und zwar erstellst Du auf Basis des von mir erstellen Scripts eine .VBS Datei und kopierst diese bspw. ins NETLOGON Verzeichnis. Danach trägst Du das Script in's Profil des externen Dienstleisters, so daß es bei der Anmeldung ausgeführt wird.

 

Das Script sorgt dafür, daß das Ablaufdatum des aktuellen Benutzers auf den heutigen Tag gesetzt wird. Eine Anmeldung ist also für den Rest des Tages möglich.

Bei der nächsten "Aktivierung" muss das Datum dann nur noch wieder auf "Unbeschränkt" gesetzt werden.

 

Const ADS_NAME_INITTYPE_GC = 3
Const ADS_NAME_TYPE_1779 = 1
Const ADS_NAME_TYPE_UNKNOWN = 8

Set wshNetwork = WScript.CreateObject("WScript.Network") 
strUser = wshNetwork.UserDomain & "\" & wshNetwork.UserName 

Set adsNameTranslate = CreateObject("NameTranslate") 
adsNameTranslate.Init ADS_NAME_INITTYPE_GC, vbNullString 
adsNameTranslate.Set ADS_NAME_TYPE_UNKNOWN, strUser 
strDN = adsNameTranslate.Get(ADS_NAME_TYPE_1779) 

strExpireDate = date+1
set objUser = GetObject("LDAP://" & strDN)
objUser.AccountExpirationDate = strExpireDate
objUser.SetInfo 

 

Eine andere Möglichkeit wäre auf einem DC ein Script laufen zu lassen, daß bspw. täglich abends um 18.00 Uhr den Benutzer deaktiviert. Wenn er schon gesperrt ist, bleibt er einfach gesperrt. Falls das interessanter ist, könnte ich das auch noch coden.

 

Viel Erfolg!

 

Andre

[blub 115]

hi,

Im Useraccount gibt es das Feld: account expires -> dort kannst du "never" bzw. "end of " + Datum eintragen. Hat aber nur Tagesschritte

 

cu

blub

[Operator 10]

Genau darauf bezieht sich mein Script. Es automatisiert die ganze Geschichte bei der Anmeldung.

Der entsprechende User ist eh DomAdmin und darf sich selbst modifizieren.

 

Andre

[slowjoe 10]

thx so far

 

das hört sich schonmal gut an, werd ich gleich mal antesten.

 

thx

 

slow