35. PowerShell -- 活动目录介绍（1）
AD PowerShell cmdlet 提供商： Microsoft and QUEST Software· PowerShell – 活动目录
1. PowerShell 可以实现对ADSI(Active Directory Service Interface)服务接口的支持；
2. ADSI类似于Windows 管理规范（WMI），发出一个使用特殊语法编写的查询，然后传递给远程计算机（域控制器），然后执行它。查询结果为一个AD对象或对象的集合（如一个用户或用户组），并且你可以获得该对象的引用；修改保存，创建，删除对象；
3. 使用Windows PowerShell 管理活动目录的必要条件；
a) 至少有一个基于web服务活动目录的域控制器；(AD WS),运行于Windows 2008 R2
b) 或管理网关服务活动目录的域控制器;（AD MGS）,运行在Windows 2003 和2008
c) 如果是AD web服务，由于他不支持老的客户端（windows XP, Vista 等等）， 你必要有windows 7, 或windows server 2008 r2 客户端
[*] 活动目录PowerShell cmdlet查询流程；
[*] a) cmdlet -> AD WS -> Query DC -> AD WS -> cmdlet.
[*] b) cmdlet或客户端使用它们自己的协议做域询问并发送询问到AD Web服务。
[*] c) 然后域控器（DC）制作反应通过AD Web服务发回到“客户”，并且这些信息都封装在网服务协议中。
[*] 活动目录模块下所有PowerShell cmdlet名单
Add-ADComputerServiceAccount
Add-ADDomainControllerPasswordReplicationPolicy
Add-ADFineGrainedPasswordPolicySubject
Add-ADGroupMember
Add-ADPrincipalGroupMembership
Clear-ADAccountExpiration
Disable-ADAccount
Disable-ADOptionalFeature
Enable-ADAccount
Enable-ADOptionalFeature
Get-ADAccountAuthorizationGroup
Get-ADAccountResultantPasswordReplicationPolicy
Get-ADComputer
Get-ADComputerServiceAccount
Get-ADDefaultDomainPasswordPolicy
Get-ADDomain
Get-ADDomainController
Get-ADDomainControllerPasswordReplicationPolicy
Get-ADDomainControllerPasswordReplicationPolicyUsage
Get-ADFineGrainedPasswordPolicy
Get-ADFineGrainedPasswordPolicySubject
Get-ADForest
Get-ADGroup
Get-ADGroupMember
Get-ADObject
Get-ADOptionalFeature
Get-ADOrganizationalUnit
Get-ADPrincipalGroupMembership
Get-ADRootDSE
Get-ADServiceAccount
Get-ADUser
Get-ADUserResultantPasswordPolicy
Install-ADServiceAccount
Move-ADDirectoryServer
Move-ADDirectoryServerOperationMasterRole
Move-ADObject
New-ADComputer
New-ADFineGrainedPasswordPolicy
New-ADGroup
New-ADObject
New-ADOrganizationalUnit
New-ADServiceAccount
New-ADUser
Remove-ADComputer
Remove-ADComputerServiceAccount
Remove-ADDomainControllerPasswordReplicationPolicy
Remove-ADFineGrainedPasswordPolicy
Remove-ADFineGrainedPasswordPolicySubject
Remove-ADGroup
Remove-ADGroupMember
Remove-ADObject
Remove-ADOrganizationalUnit
Remove-ADPrincipalGroupMembership
Remove-ADServiceAccount
Remove-ADUser
Rename-ADObject
Reset-ADServiceAccountPassword
Restore-ADObject
Search-ADAccount
Set-ADAccountControl
Set-ADAccountExpiration
Set-ADAccountPassword
Set-ADComputer
Set-ADDefaultDomainPasswordPolicy
Set-ADDomain
Set-ADDomainMode
Set-ADFineGrainedPasswordPolicy
Set-ADForest
Set-ADForestMode
Set-ADGroup
Set-ADObject
Set-ADOrganizationalUnit
Set-ADServiceAccount
Set-ADUser
Uninstall-ADServiceAccount
Unlock-ADAccount
6. Quest软件和BSonPosh的开源模块提供的管理活动目录命令：
目标管理（Quest）
Get-QADUser ——得到特定用户目标或搜寻与查询匹配的用户目标，例如：
#为BSonPosh域名解析不明确的用户获取用户名
Get-QADUser bsonposh
#获取有BSonPosh的经理级用户
Get-QADUser –Manager bsonposh
#获取运用LDAP过滤器的姓“Shell”的用户
Get-QADUser -LDAPFilter "(sn=shell)"
更多列举：
Get-help Get-QADUser –example
Get-QADComputer——获取特定电脑目标或搜寻匹配查询的电脑目标，例如：
#获取指定组织单元的所有电脑
Get-QADComputer -SearchRoot "OU=XenDesktop,DC=Dev,DC=Lab"
#获取有指定身份的所有电脑（如，成员、域控制器、未定义）
Get-QADComputer –ComputerRole DC
#发现所有Windows 7机器
Get-QADComputer –OSName "Windows 7*"
更多举例：
Get-help Get-QADComputer –example
Get-QADGroup——获取特定群组目标或搜寻匹配查询的群组目标，例如：
#列出所有通用群组
Get-QADGroup -GroupScope 'Universal'
#获取群组成员
Get-QADGroup "domain Admins" | select –ExpandProperty member
#获取群组成员的更简单方式
Get-ADGroupMember "Domain Admins"
#查找空群组
Get-QADGroup –empty $true
更多举例：
Get-help Get-QADGroup –example
基础架构管理（BSonPosh）
Get-Forest——返回当前目录林，例如：
#获取当前目录林
Get-Forest
#为特定域控制器获取目录林
Get-Forest –DomainController CoreDC
更多举例：
Get-help Get-Forest –example
Get-Domain —— 返回域目标，例如
# 获得当前域
Get-Domain
#获得特定域控制器的域
Get-Domain -DomainController CoreDC
更多举例：
Get-help Get-Domain –example Get-Forest
Get-DomainController——返回与传送参数相匹配的域控制器目标，例如：
#获取当前用户会话的域控制器
Get-DomainController
#用特定名称（RegEx）获取域控制器
Get-DomainController -Filter "mydc(nyc|dr)\d">
#在指定域中返回所有域控制器
Get-DomainController –Domain Dev.Lab
更多举例：
Get-help Get-DomainController-example
Get-FSMO——返回目录林/域的操作主机，例如：
#返回目录林和域的所有灵活单主机操作
Get-FSMO
#只返回域灵活单主机操作
Get-FSMO –Domain
#只返回目录林灵活单主机操作
Get-FSMO –Forest
更多举例：
Get-help Get-FSMO –example>
下面是Quest活动目录模块提供的所有命令：
Add-QADGroupMember
Add-QADMemberOf
Add-QADPasswordSettingsObjectAppliesTo
Add-QADPermission
Approve-QARSApprovalTask
Connect-QADService
Convert-QADAttributeValue
Deprovision-QADUser
Disable-QADUser
Disconnect-QADService
Enable-QADUser
Get-QADComputer
Get-QADGroup
Get-QADGroupMember
Get-QADMemberOf
Get-QADObject
Get-QADObjectSecurity
Get-QADPasswordSettingsObject
Get-QADPasswordSettingsObjectAppliesTo
Get-QADPermission
Get-QADPSSnapinSettings
Get-QADRootDSE
Get-QADUser
Get-QARSAccessTemplate
Get-QARSAccessTemplateLink
Get-QARSApprovalTask
Get-QARSOperation
Move-QADObject
New-QADGroup
New-QADObject
New-QADPasswordSettingsObject
New-QADUser
New-QARSAccessTemplateLink
Reject-QARSApprovalTask
Remove-QADGroupMember
Remove-QADMemberOf
Remove-QADObject
Remove-QADPasswordSettingsObjectAppliesTo
Remove-QADPermission
Remove-QARSAccessTemplateLink
Rename-QADObject
Restore-QADDeletedObject
Set-QADGroup
Set-QADObject
Set-QADObjectSecurity
Set-QADPSSnapinSettings
Set-QADUser
Set-QARSAccessTemplateLink
Unlock-QADUser
最后，下面列出BSonPosh模块中可发现的所以活动目录命令：
ConvertTo-DistinguishedName
ConvertTo-DNSName
ConvertTo-Name
ConvertTo-NetbiosName
ConvertTo-Sid
ConvertTo-UACFLag
Get-ADACL
Get-DCConnectionObject
Get-Domain
Get-DomainController
Get-Forest
Get-FSMO
Get-Schema
Get-SchemaClass
Get-SchemaOID
Get-SchemaProperty
Get-SiteLink
Get-Site
New-ADACE
Set-ADACL
通过Quest命令的在线帮助和BSonPosh的源代码，你会发现有更多为活动目录目标和基础架构管理运用在这些PowerShell命令之上。
参考：
https://technet.microsoft.com/zh-cn/magazine/2008.05.powershell.aspx
http://www.exchangecn.com/html/associate/20110217_320.html
页:
[1]