Diese Reihe von PowerShell Tipps und Tricks gründet auf einer fortlaufende Zusammenarbeit zwischen NinjaOne und Adam Bertram, Microsoft MVP.
Eine der häufigsten Anwendungen von PowerShell, die ich als IT-Professional erachte, ist die Synchronisierung von Informationen mit Active Directory (AD). Es scheint, als ob jeder eine externe Datenquelle hat, die mit einigen Angestellten korreliert, die wir in die AD aufnehmen müssen. Dies ist zu erwarten, da die AD in der Regel der am häufigsten verwendete IT-Service eines Unternehmens ist und eine hervorragende Funktion bietet, und zwar nicht nur als Authentifizierung, sondern auch als Repository für Mitarbeiterinformationen.
Egal ob Sie Daten in einer benutzerdefinierten SQL-Datenbank oder in einem raffinierten HR-System gespeichert haben, es ist nervig, zwei verschiedene Stellen zu überprüfen, wenn Sie Informationen wie die Mitarbeiterabteilung, Gruppen, denen der Mitarbeiter angehören sollte usw. benötigen. Wenn Sie mit der Synchronisierung dieser Daten beginnen, ändert das Quellsystem möglicherweise sein Schema, kann APIs, Server usw. ändern, was eine Code-Nachbearbeitung bedeutet. Um sicherzustellen, dass die Datenquelle, von der aus Sie synchronisieren, immer gleich bleibt und aus einer beliebigen Anzahl von Systemen erstellt werden kann, ist es eine gute Idee, diese Daten in eine CSV-Datei zu übertragen.
Eine einfache CSV-Datei kann aus fast jeder Software oder Datenbank exportiert werden und gibt dem Administrator in diesem Format eine Kopie, die optimiert werden kann, sowie die notwendigen Informationen, die er von einem anderen Team verlangt, um irgendwo eine Datenbank zu ändern.
Lassen Sie uns ein einfaches Skript erstellen, das Sie heute verwenden können, um zu sehen, wie wir ein Attribut, eine Abteilung von einer CSV-Datei mit einem AD-Konto synchronisieren können.
Als Auftakt nehmen wir an, ich habe eine CSV namens C:Employees.csv. Diese CSV hat drei Spalten: Vorname, Nachname und Abteilung. Sie möchten ein Skript, das das AD-Konto finden kann, das mit diesem Vor-/Nachnamen verknüpft ist, und dann die Abteilung in die ändern, die in der CSV-Datei steht.
Dieses Skript besteht wie jedes Synchronisierungsskript hauptsächlich aus drei “Phasen”. Diese “Phasen” lesen die Quelldaten (in diesem Beispiel CSV), finden die eindeutigen ID der Zielquellendaten, die mit den Quelldaten übereinstimmen (in diesem Beispiel AD samAccountName) und schreiben schließlich die zugehörigen Attribute, die mit diesem Konto verknüpft sind.
Die erste Aufgabe ist das Lesen der CSV-Datei.
[code language=”css”]$csvUsers = Import-Csv -Path ‘C:Employees.csv'[/code]
Erledigt. Der nächste Teil besteht darin, die eindeutige ID für jede Zeile der CSV-Datei zu finden. Da wir keine eindeutige ID in der CSV-Datei haben, müssen wir diese im Handumdrehen erstellen. Um diese eindeutige ID zu erhalten, gehen wir davon aus, dass der erste Vor-/Nachname eines Mitarbeiters immer ein AD samAccountName ist. Wir müssen diese Suche samAccountName erstellen und dann eine AD-Abfrage durchführen, um festzustellen, ob ein Konto existiert.
Hinweis: Bevor wir zu weit gehen, müssen wir sichergehen, dass Sie die Remoteserver-Verwaltungstools für Ihr Betriebssystem heruntergeladen und installiert haben. Dadurch erhalten Sie das Active Directory PowerShell-Modul, das die Cmdlets Get-AdUser und Set-AdUser enthält, die wir verwenden werden.
[code language=”css”]foreach ($csvUser in $csvUsers) {
$userName = ‘{0}{1}’ -f $csvUser.FirstName.SubString(0,1),$csvUser.LastName
wenn ($adUser = Get-AdUser -Filter “samAccountName -eq $userName” -Properties $attributesToSync) {
## Unsere “eindeutige ID” wurde gefunden. Fahren mit dem Lesen der CSV-Daten und dem Schreiben der Attribute fort
} else {
Schreiben Sie eine Warnmeldung ‘Benutzer-Übereinstimmung nicht gefunden’
}
}
[/code]
Sobald wir einen AD-Account haben, mit dem wir arbeiten können, können wir dann jedes Attribut, das diesem Angestelltennamen in der CSV-Datei zugeordnet ist, lesen und diese Information in den gefundenen AD-Account schreiben. Beachten Sie unten, dass ich die $attributesToSync variable definiere und diese dann später lese. Ich habe das getan, damit ich zusätzliche Attribute hinzufügen kann, die in der CSV enthalten sein können, um diese auch in Zukunft zu synchronisieren. Im folgenden Beispiel wird zuerst überprüft, ob das Attribut identisch ist. Wenn nicht, wird Set-AdUser verwendet, um es zu ändern.
[code language=”css”]$attributesToSync = ‘Department’
foreach ($csvUser in $csvUsers) {
$userName = ‘{0}{1}’ -f $csvUser.FirstName.SubString(0,1),$csvUser.LastName
wenn ($adUser = Get-AdUser -Filter “samAccountName -eq $userName” -Properties $attributesToSync) {
foreach ($attr in $attributesToSync) {
wenn ($csvUser.$_ -ne $adUser.$_) {
$setParams = @{
$_ = $csvUser.$_
}
$adUser | Set-AdUser @setParams
}
}
} else {
Schreiben Sie eine Warnmeldung ‘Benutzer-Übereinstimmung nicht gefunden’
}
}[/code]
Dieses Beispiel funktioniert nur mit Attributen, die Zeichenfolgenwerte innerhalb der AD sind. Achten Sie auf Attribute wie den Manager, das Ablaufdatum des Kontos und so weiter. Diese Attribute erfordern, dass ein Objekt des richtigen Typs erstellt wird, bevor es in die AD geschrieben wird. Man bräuchte eine Reihe weiterer Artikel, um die Feinheiten der AD-Synchronisierung und der Arbeit mit verschiedenen Attributen zu untersuchen, aber ich habe eine PowerShell namens PSADSync kreiert, die Sie dabei unterstützt. Sie können es finden, indem Sie es mit dem Install-Module PSADsync aus der PowerShell-Galerie ziehen.
Adam Bertram ist ein Microsoft Windows Cloud und Datacenter Management MVP. Er hat verschiedene Schulungen verfasst, ist regelmäßiger Mitwirkender zahlreicher Print- und Online-Publikationen und präsentiert auf verschiedenen Benutzergruppen und Konferenzen. Sie können Adam unter adamtheautomator.com oder auf Twitter unter @adbertram finden.
