Windows AD, criação de usuários em massa, criação de homedrv via linha de comando

Question

Eu estou em massa criando usuários do AD a partir da linha de comando (dsadd) e ao fazê-lo estou definindo o homedir e homedrv para um local DFS. Observo quando eu crio o usuário com todas essas configurações por meio da GUI (dsa.msc) que o homedrv é criado no compartilhamento DFS com todas as permissões definidas corretamente. Mas ao usar o dsadd, a pasta não é criada. Como posso replicar esse comportamento da GUI por meio da linha de comando ao criar o usuário?

Eu realmente não quero confiar em scripts de logon para configurá-lo. Eu tenho que usar mkdir e cacls e algo mais para dar ao proprietário do usuário? Ou talvez eu esteja sentindo falta de algo fácil.

Qualquer ajuda muito apreciada!

    

Answer 1

Minhas respostas abaixo provavelmente fornecerão o esqueleto de um script para fazer o que você quer que aconteça:

• Usando o ICACLS para definir permissões em diretórios de usuários

• Script para redefinir permissões de diretório inicial em um compartilhamento do Windows

Você pode acabar com um pequeno script de provisionamento que cria o diretório de perfil móvel, os diretórios / diretórios home redirecionados e adiciona os atributos / associações de grupo apropriados ao AD para que tudo ocorra.

Eu discordo strongmente do método "preferido" da Microsoft de conceder permissões de usuário de forma que o Windows crie automaticamente esses vários diretórios. As permissões que são adicionadas a esses diretórios criados automaticamente são decididamente abaixo do ideal, e acredito que há um strong potencial de ataque de negação de serviço, permitindo que os usuários tenham acesso de gravação irrestrito a pastas de nível superior em tais hierarquias.

    

Answer 2

Geralmente, eu criava scripts e lia a lista de nomes de usuários / etc de uma planilha ou arquivo txt. Há vários scripts de amostra na Web para a criação de usuários, mas dê uma olhada aqui para começar.

Uma coisa sobre a propriedade Home Folder: você pode achar que há menos sobrecarga administrativa para você a longo prazo se você abandonar isso como uma má idéia (eu suspeito que ela só exista no AD para NT4 legado) compatibilidade, e que não é realmente destinado a ser usado em uma implementação totalmente nativa do AD) e usar o Redirecionamento de Pastas com Diretivas de Grupo .

Para a criação de pastas, usei com sucesso xcacls no passado.

    

Answer 3

Veja o segundo comentário neste link para mais informações:

link

    

Answer 4

Faça check-out da linha de comando verison de admodify.net chamada admod. Ele permite alterações em massa no AD e é programável por script. Eu tenho um roteiro assim, me avise se você estiver interessado.