La gestione e la modifica dell’appartenenza degli utenti ai gruppi, sia su un computer locale che in Active Directory, è un’attività comune per i professionisti IT. Una gestione efficiente di queste operazioni può migliorare notevolmente l’amministrazione del sistema, rendendo i processi più snelli e privi di errori. In questo contesto si rivela preziosa la potenza dello scripting, che offre automazione e precisione per aggiungere o rimuovere utenti da gruppi.
Background
Lo script fornito opera su uno dei fattori centrali della gestione IT, consentendo agli amministratori di aggiungere o rimuovere utenti da gruppi specifici. È stato progettato per essere versatile e per funzionare sia nell’ambito di un computer locale che in quello più ampio di Active Directory. Con la crescita delle aziende e dei provider di servizi gestiti (MSP), la gestione manuale degli utenti può diventare difficile. Questi script non solo riducono il tempo dedicato alle attività di routine, ma minimizzano anche gli errori umani.
Lo script per aggiungere o rimuovere utenti da gruppi
#Requires -Version 2.0
<#
.SYNOPSIS
Add or remove a user to a group in Active Directory or the local computer.
.DESCRIPTION
Add or remove a user to a group in Active Directory or the local computer.
.EXAMPLE
-Group "MyGroup" -UserName "MyUser" -Action Add -IsDomainUser
Adds MyUser to the group MyGroup in AD.
.EXAMPLE
-Group "MyGroup" -UserName "MyUser" -Action Remove -IsDomainUser
Removes MyUser from the group MyGroup in AD.
.EXAMPLE
-Group "MyGroup" -UserName "MyUser" -Action Add
Adds MyUser to the group MyGroup on the local computer.
.EXAMPLE
PS C:> Modify-User-Membership.ps1 -Group "MyGroup" -UserName "MyUser" -Action Remove
Removes MyUser from the group MyGroup on the local computer.
.OUTPUTS
String[]
.NOTES
Minimum OS Architecture Supported: Windows 7, Windows Server 2012
This will require RSAT with the AD feature to be installed to function.
Release Notes:
Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms.
Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party.
Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider.
Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations.
Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks.
Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script.
EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
ManageUsers
#>
[CmdletBinding()]
param (
# Specify one Group
[Parameter(Mandatory = $true)]
[String]
$Group,
# Specify one User
[Parameter(Mandatory = $true)]
[String]
$UserName,
# Add or Remove user from group
[Parameter(Mandatory = $true)]
[ValidateSet("Add", "Remove")]
[String]
$Action,
# Modify a domain user's membership
[Parameter(Mandatory = $false)]
[Switch]
$IsDomainUser
)
begin {
function Test-IsElevated {
$id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
$p = New-Object System.Security.Principal.WindowsPrincipal($id)
if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
{ Write-Output $true }
else
{ Write-Output $false }
}
}
process {
if (-not (Test-IsElevated)) {
Write-Error -Message "Access Denied. Please run with Administrator privileges."
exit 1
}
if (-not $IsDomainUser) {
# Modify Local User
if ($Action -like "Remove") {
if ($PSVersionTable.PSVersion.Major -lt 3) {
# Connect to localhost
try {
$ADSI = [ADSI]("WinNT://$env:COMPUTERNAME")
}
catch {
Write-Error -Message "Failed to connect to $env:COMPUTERNAME via ADSI object"
exit 1
}
# Find the group
try {
$ASDIGroup = $ADSI.Children.Find($Group, 'group')
}
catch {
Write-Error -Message "Failed to find $Group via ADSI object"
exit 1
}
# Remove the user from the group
try {
$ASDIGroup.Remove(("WinNT://$env:COMPUTERNAME/$UserName"))
}
catch {
Write-Error -Message "Failed to remove User $UserName from Group $Group"
exit 529 # ERROR_MEMBER_NOT_IN_GROUP
}
}
else {
if (
# Check that the group exists
(Get-LocalGroup -Name $Group -ErrorAction SilentlyContinue) -and
# Check that the user exists in the group
(Get-LocalGroupMember -Group $Group -Member $UserName -ErrorAction SilentlyContinue)
) {
Write-Output "Found $UserName in Group $Group, removing."
try {
# Remove user from Group, -Confirm:$false used to not prompt and stop the script
Remove-LocalGroupMember -Group $Group -Member $UserName -Confirm:$false
Write-Output "Removed User $UserName from Group $Group"
}
catch {
Write-Error -Message "Failed to remove User $UserName from Group $Group"
exit 529 # ERROR_MEMBER_NOT_IN_GROUP
}
}
elseif (-not (Get-LocalGroup -Name $Group -ErrorAction SilentlyContinue)) {
Write-Error -Message "Group $Group does not exist"
exit 528 # ERROR_NO_SUCH_GROUP
}
elseif (-not (Get-LocalGroupMember -Group $Group -Member $UserName -ErrorAction SilentlyContinue)) {
Write-Error -Message "User does not exist in Group $Group"
exit 529 # ERROR_MEMBER_NOT_IN_GROUP
}
}
}
elseif ($Action -like "Add") {
if ($PSVersionTable.PSVersion.Major -lt 3) {
# Connect to localhost
try {
$ADSI = [ADSI]("WinNT://$env:COMPUTERNAME")
}
catch {
Write-Error -Message "Failed to connect to $env:COMPUTERNAME via ADSI object"
exit 1
}
# Find the group
try {
$ASDIGroup = $ADSI.Children.Find($Group, 'group')
}
catch {
Write-Error -Message "Failed to find $Group via ADSI object"
exit 1
}
# Get the members of the group
$GroupResults = try {
$ASDIGroup.psbase.invoke('members') | ForEach-Object {
$_.GetType().InvokeMember("Name", "GetProperty", $Null, $_, $Null)
}
}
catch {
$null
}
# Check if the user is in the group
if ($UserName -in $GroupResults) {
# User already in Group
Write-Output "User $UserName already in Group $Group"
exit 1320 # ERROR_MEMBER_IN_GROUP
}
else {
# User not in group, add them to the group
try {
$ASDIGroup.Add(("WinNT://$env:COMPUTERNAME/$UserName"))
}
catch {
Write-Error -Message "Failed to add User $UserName to Group $Group"
exit 1388 # ERROR_INVALID_MEMBER
}
# We can verify the membership by running the following command:
if ($UserName -in (
$ASDIGroup.psbase.invoke('members') | ForEach-Object {
$_.GetType().InvokeMember("Name", "GetProperty", $Null, $_, $Null)
}
)
) {
# User in Group
Write-Output "Added User $UserName to Group $Group"
}
else {
Write-Error -Message "Failed to add User $UserName to Group $Group"
exit 1388 # ERROR_INVALID_MEMBER
}
}
}
else {
# Verify that the user and group exist
if (
# Check that the user exists
(Get-LocalUser -Name $UserName -ErrorAction SilentlyContinue) -and
# Check that the group exists
(Get-LocalGroup -Name $Group -ErrorAction SilentlyContinue)
) {
# Check if user is already in group
if (-not (Get-LocalGroupMember -Group $Group -Member $UserName -ErrorAction SilentlyContinue)) {
# User not in group, good to add
try {
# Add user to group
Add-LocalGroupMember -Group $Group -Member (Get-LocalUser -Name $UserName)
Write-Output "Added User $UserName to Group $Group"
}
catch {
Write-Error -Message "Failed to add User $UserName to Group $Group"
exit 1388 # ERROR_INVALID_MEMBER
}
}
else {
# User already in Group
Write-Output "User $UserName already in Group $Group"
exit 1320 # ERROR_MEMBER_IN_GROUP
}
}
}
}
}
else {
if ((Get-Module -Name ActiveDirectory -ListAvailable -ErrorAction SilentlyContinue)) {
try {
Import-Module -Name ActiveDirectory
# Get most of our data needed for the logic, and to reduce the number of time we need to talk to AD
$ADUser = (Get-ADUser -Identity $UserName -Properties SamAccountName -ErrorAction SilentlyContinue).SamAccountName
$ADGroup = Get-ADGroup -Identity $Group -ErrorAction SilentlyContinue
$ADInGroup = Get-ADGroupMember -Identity $Group -ErrorAction SilentlyContinue | Where-Object { $_.SamAccountName -like $ADUser }
}
catch {
Write-Error -Message "Ninja Agent could not access AD, please check that the agent has permissions to add and remove users from groups."
exit 5 # Access Denied exit code
}
# Modify AD User
if ($Action -like "Remove") {
# Verify that the user and group exist, and if the user is in the group
if (
$ADUser -and
# Check that the group exists
$ADGroup -and
# Check that the user exists in the group
$ADInGroup
) {
Write-Output "Found $UserName in Group $Group, removing."
try {
# Remove user from Group, -Confirm:$false used to not prompt and stop the script
Remove-ADGroupMember -Identity $Group -Members $ADUser -Confirm:$false
Write-Output "Removed User $UserName from Group $Group"
}
catch {
Write-Error -Message "Failed to remove User $UserName from Group $Group"
exit 529 # ERROR_MEMBER_NOT_IN_GROUP
}
}
elseif (-not $ADGroup) {
Write-Error -Message "Group $Group does not exist"
exit 528 # ERROR_NO_SUCH_GROUP
}
elseif (-not $ADInGroup) {
Write-Error -Message "User does not exist in Group $Group"
exit 529 # ERROR_MEMBER_NOT_IN_GROUP
}
}
elseif ($Action -like "Add") {
# Verify that the user and group exist
if (
# Check that the user exists
$ADUser -and
# Check that the group exists
$ADGroup
) {
# Check if user is already in group
if (-not $ADInGroup) {
# User not in group, good to add
try {
# Add user to group
Add-ADGroupMember -Identity $Group -Members $ADUser
Write-Output "Added User $UserName to Group $Group"
}
catch {
Write-Error -Message "Failed to add User $UserName to Group $Group"
exit 1388 # ERROR_INVALID_MEMBER
}
}
else {
# User already in Group
Write-Output "User $UserName already in Group $Group"
exit 1320 # ERROR_MEMBER_IN_GROUP
}
}
}
}
else {
# Throw error that RSAT: ActiveDirectory isn't installed
Write-Error -Message "RSAT: ActiveDirectory is not installed or not found on this computer. The PowerShell Module called ActiveDirectory is needed to proceed." -RecommendedAction "https://docs.microsoft.com/en-us/powershell/module/activedirectory/?view=windowsserver2019-ps"
exit 2 # File Not Found exit code
}
}
}
end {}
Accedi a oltre 700 script nel Dojo di NinjaOne
Analisi dettagliata
Lo script per aggiungere o rimuovere utenti da gruppi inizia con un commento completo che ne illustra le funzionalità, alcuni esempi e i requisiti. Vengono definiti parametri essenziali come Group, UserName, Action e uno switch opzionale, IsDomainUser, che controllano l’operazione principale. Una funzione di aiuto, Test-IsElevated, verifica se lo script per aggiungere o rimuovere utenti da gruppi viene eseguito con privilegi amministrativi. L’operazione principale inizia con un controllo dell’elevazione dei diritti, seguito dal controllo relativo al fatto che l’attività riguardi un utente locale o un utente di Active Directory. A seconda della versione di PowerShell e dell’azione desiderata (Aggiungi/Rimuovi), lo script si interfaccia con Active Directory Service Interfaces (ADSI) o utilizza cmdlet PowerShell nativi. Per gli utenti di Active Directory viene utilizzato il modulo Active Directory, che offre un’integrazione e una gestione perfette.
Casi d’uso potenziali
Caso di studio:
Sarah, amministratrice IT di un’azienda in crescita, deve assumere 50 nuovi dipendenti. Poiché i reparti e i ruoli variano, l’assegnazione manuale degli utenti ai rispettivi gruppi AD richiederebbe molto tempo. Utilizzando questo script, Sarah assegna rapidamente gli utenti ai rispettivi gruppi, assicurandosi che i controlli di accesso siano applicati in modo efficiente. Durante gli audit trimestrali dell’IT, utilizza lo script anche per rimuovere gli utenti da gruppi specifici o dai computer locali dei dipendenti con cui non è più in essere un rapporto di lavoro.
Confronti
La gestione tradizionale degli utenti e le operazioni necessarie per aggiungere o rimuovere utenti da gruppi vengono effettuate solitamente usando strumenti basati su GUI come Active Directory Users and Computers (ADUC) o Gestione Computer per gli utenti locali. Pur essendo facili da usare, non sono efficienti per le operazioni in blocco. Questo script per aggiungere o rimuovere utenti da gruppi, sfruttando PowerShell, permette di ridurre a pochi minuti attività che richiederebbero ore. Tuttavia, a differenza degli strumenti dell’interfaccia grafica che forniscono un feedback visivo, lo script richiede un test approfondito per garantire che non si verifichino azioni non intenzionali.
Domande frequenti
- È possibile utilizzare questo script su versioni precedenti di PowerShell?
Sì, lo script per aggiungere o rimuovere utenti da gruppi supporta le versioni di PowerShell a partire dalla 2.0. Tuttavia, la funzionalità potrebbe variare a seconda della versione. - Il modulo Active Directory è un requisito obbligatorio?
Per le azioni riguardanti gli utenti di dominio, è necessario il modulo Active Directory. - Come posso assicurarmi di avere i diritti amministrativi necessari?
Lo script per aggiungere o rimuovere utenti da gruppi contiene controlli integrati per i diritti amministrativi e genera un messaggio di errore se non viene eseguito con i privilegi richiesti.
Implicazioni
Lo script per aggiungere o rimuovere utenti da gruppi può ridurre drasticamente gli errori nella gestione dei gruppi di utenti, con implicazioni significative per la sicurezza informatica. Assicurandosi che gli utenti facciano parte solo dei gruppi necessari, si applica il principio del minimo privilegio, una pietra angolare della sicurezza informatica. Tuttavia, l’automazione comporta la responsabilità di garantire che gli script non forniscano inavvertitamente un accesso con diritti superiori al necessario, con il rischio di aprire potenzialmente le porte a violazioni della sicurezza.
Raccomandazioni
- Testa sempre lo script per aggiungere o rimuovere utenti da gruppi in un ambiente controllato prima di distribuirlo in produzione.
- Mantieni un registro di tutte le modifiche apportate con lo script a scopo di verifica.
- Assicurati di disporre di backup di Active Directory o dei database degli utenti locali per ripristinare eventuali modifiche non intenzionali.
Considerazioni finali
Poiché gli ambienti IT diventano sempre più complessi, strumenti come NinjaOne sono fondamentali per fornire soluzioni complete. Per attività come la gestione dei gruppi di utenti, script come quello descritto sopra per aggiungere o rimuovere utenti da gruppi possono essere integrati in piattaforme come NinjaOne, per assicurarsi che gli amministratori IT abbiano i migliori strumenti a portata di mano, e per automatizzare e semplificare i processi mantenendo una sicurezza ottimale.