您现在的位置: 破洛洛 >> 服务器 >> DNS服务器 >> 正文

管理 Active Directory 的 11 个常用工具

作者:佚名 来源:不详 更新时间:2009-4-16
分享到

    Windows Server 2003 中的内置命令行工具,这些工具可以让我们在 Active Directory 中创建、删除、修改和查找对象:

    CSVDE

    逗号分隔值数据交换工具(即 CSVDE)使用 CSV 源文件将新对象导入到 Active Directory 中;此外,该工具还提供了将现有对象导出到 CSV 文件的功能。CSVDE 不能用于修改现有对象;在导入模式下使用此工具时,您只能创建全新的对象。

    使用 CSVDE 导出现有对象的列表相当简单。将 Active Directory 对象导出到名为 ad.csv 的文件,方法如下:

    csvde –f ad.csv

    –f 开关表示后面为输出文件的名称。但是必须注意,根据环境的不同,此基本语法可能会生成不实用的大型输出文件。要将此工具限制为仅导出特定组织单位 (OU) 中的对象,可以将语句修改为如下形式:

    csvde –f UsersOU.csv –d ou=Users,dc=test,dc=com

    进一步假定我们只对将用户对象导出到 CSV 文件感兴趣。如果是那样的话,我们可以添加 –r 开关和 –l 开关,前者允许指定轻型目录访问协议 (LDAP) 筛选器进行搜索,后者可以限制导出的属性的数量(请注意以下所有内容位于一行):

    csvde –f UsersOnly.csv –d ou=Users,dc=contoso,dc=com –r
           "(&(objectcategory=person)(objectclass=user))" –l
           DN,objectClass,description

    通过 –i 开关,我们可以将对象从源 CSV 文件导入到 Active Directory。但是,使用 CSVDE 创建用户对象存在一个关键限制:不能使用 CSVDE 设置用户密码。因此,应该避免使用 CSVDE 创建用户对象。

    LDIFDE

    Active Directory 还提供了另外一个用于执行批量用户操作的内置工具,称为 LDIFDE,与 CSVDE 相比,此工具更强大,更灵活。除了可以创建新对象外,LDIFDE 还可以修改和删除现有对象,甚至扩展 Active Directory 架构。LDIFDE 虽然具有灵活性,但为了实现这种灵活性却必须要使用扩展名为 .ldf 的 LDIF 文件作为输出文件,这种文件与简单的 CSV 文件相比,格式更复杂。(只需少量操作就可以配置好用户密码,我稍后将对此进行介绍。)

    我们从一个简单的示例开始,将某个 OU 中的用户导出到 LDF 文件中(请注意以下所有内容位于一行):

    ldifde -f users.ldf -s DC1.contoso.com -d "ou=UsersOU,dc=contoso,dc=com"
           –r "(&(objectcategory=person)(objectclass=user))"
    与大多数命令行工具一样,我们可以通过运行 LDIFDE /? 命令找到 LDIFDE 开关的完整说明。

[1] [2] [3] [4] 下一页

     LDIFDE 开关

    -
     d指定 LDIFDE 为了执行操作应连接到的 LDAP 路径。

     -f 指明要使用的文件的名称,在本例中用于输出导出结果。


     -r 指定要用于导出操作的 LDAP 筛选器。

    -
     s 指定要连接到的执行操作的域控制器 (DC);如果遗漏了此项,LDIFDE 将连接到本地 DC 上(如果您正在从工作站中运行此工具,则连接到验证您身份的 DC)。

    LDIFDE 的真正功能在于创建和操作对象。然而,进行此操作之前,我们首先需要创建一个输入文件。以下语句创建两个名为 afuller 和 rking 的用户帐户;要创建该输入文件,请在记事本(或者您喜欢的纯文本编辑器)中输入以下文本,然后将其保存为 NewUsers.ldf:

    dn: CN=afuller, OU=UsersOU, DC=test, DC=com
    changetype: add
    cn: afuller
    objectClass: user
    samAccountName: afuller

    dn: CN=rking, OU=UsersOU, DC=test, DC=com
    changetype: add
    cn: rking
    objectClass: user
    samAccountName: rking

    创建完该文件后,请运行以下命令:

    ldifde –i –f NewUsers.ldf –s DC1.test.com

    dsadd

    Dsadd 用于在特定的目录分区上创建 Active Directory 对象类的实例。这些类包括用户、计算机、联系人、组、组织单位和配额。Dsadd 具备一个由下列内容组成的通用语法:

    dsadd <ObjectType> <ObjectDistinguishedName> attributes

    请注意,创建的每个对象类型都有一组特定的开关,它们与该类型的属性相对应。以下命令创建一个填充了各种属性的用户对象(请注意以下所有内容位于一行):

    dsadd user cn=afuller,ou=IT,dc=test,dc=com
    –samID afuller –fn Andrew –ln Fuller –pwd *
    -memberOf cn=IT,ou=Groups,dc=test,dc=com "cn=Help Desk,ou=Groups,
    dc=test,dc=com"
    –desc "Marketing Director"

    –memberOf 开关要求指定应添加该用户的每个组的完整可分辨名称 (DN);如果要将用户添加到多个组,我们可以添加多个 DN 并用空格分隔开。

    任何元素如果包含空格(如 Help Desk 组的 DN),则该元素应该括在双引号中。如果某个元素含有反斜杠(如称为 IT\EMEA 的 OU),则必须输入两次反斜杠:IT\\EMEA。(这些要求适用于所有的 ds* 工具。)

    如果使用 -pwd * 开关,则系统将提示您在命令行输入用户密码。您可以在该命令中指定密码 (-pwd P@ssword1),但是这样会在屏幕上或该命令嵌入到的任何文本或脚本文件中以纯文本形式显示该密码。

    同样,我们可以使用下列两个命令创建组对象和 OU:

    dsadd computer cn=WKS1,ou=Workstations,dc=test,dc=com
            dsadd ou "ou=Training OU,dc=test,dc=com"

上一页  [1] [2] [3] [4] 下一页

    Dsmod

    Dsmod 用于修改现有对象,它的使用方法与 dsadd 非常相似,您需要根据要修改的对象的类型使用不同的子菜单和语法。以下 dsmod 语句会更改用户的密码并修改该用户的帐户,因此在下次登录时系统会提示该用户更改为新的密码:

    dsmod user "cn=afuller,ou=IT,dc=test,dc=com" –pwd P@ssw0rd1
        –mustchpwd yes

    要了解这些开关多么相似,您可以查看要用于创建此用户并配置了相同属性的 dsadd 语法:

    dsadd user "cn=afuller,ou=IT,dc=test,dc=com" –pwd P@ssw0rd1
     &nbs

转载请注明:破洛洛(谢谢合作)
网友评论: