Automatizando a Gerência de Contas no Active Directory usando Power Shell

O gerenciamento de contas de usu�rio consiste em tarefas simples que s�o aplicadas ao sistema de arquivo, usando o Active Directory. Veremos neste artigo como realizar todas as opera��es de atualiza��o e dele��o de contas de usu�rio.

O processo de atualiza��o de contas pode ser dividido em duas �reas: atualizar dados da conta do usu�rio (propriedades da conta) e atualizar o status da mesma (habilitando ou desabilitando-a).

Uma conta desabilitada n�o pode ser acessada. Como tudo em TI tem um ciclo de vida, com as contas de usu�rio isso n�o poderia ser diferente. Eventualmente uma conta pode acabar n�o sendo mais necess�ria por diferentes motivos e deix�-las no Active Directory � ineficiente, j� que n�o precisa mais ser gerenciada, fora que ainda pode ser um poss�vel risco � seguran�a, j� que outros de dentro do sistema podem utiliz�-la para atividades maliciosas.

A maior parte do trabalho em um Active Directory � o gerenciamento de contas, que tamb�m consome tempo dos administradores. Saber as habilidades necess�rias para gerenciar este trabalho � algo bastante precioso. Dessa forma, neste artigo veremos formas de otimizar o tempo atrav�s do gerenciamento dessas contas da melhor forma poss�vel, sempre procurando automatizar as tarefas utilizando o PowerShell.

Modificando Propriedades das Contas de Usu�rio

Muitas propriedades mudam frequentemente nas contas armazenadas no Active Directory, tais como:

Nomes (propriedade Names);
Endere�os (propriedade Address);
Telefone (propriedade Phone);
Grupos (propriedade Groups).

O administrador do Active Directory precisa manter os dados sempre atualizados para que a organiza��o obtenha o m�ximo poss�vel de seus benef�cios.

Outra caracter�stica dos atributos que ser�o modificados � quanto aos valores que eles podem assumir, sendo eles �nicos ou m�ltiplos. Um exemplo disto s�o os n�meros de telefones que possuem valores �nicos e m�ltiplas propriedades (homePhone e otherHomePhone, por exemplo).

Esses atributos podem ser modificados usando ferramentas GUI ou com o PowerShell.

Usando ferramentas GUI para modificar contas de usu�rio

As contas de usu�rio podem ser modificadas utilizando o ADAC (Active Directory Administrative Center).Neste artigo n�o abordaremos sobre essa ferramenta, mas no link disponibilizado voc� acompanha uma introdu��o completa sobre. Assim, para modificar deve-se pesquisar nele a conta de usu�rio a ser modificada, clicar com o bot�o direito do mouse na mesma e selecionar Properties. Ap�s isso, uma caixa de di�logo ser� exibida com todas as propriedades dispon�veis e com seus valores atuais: modifique e salve.

Um atributo que recebe apenas um valor �nico (ou simples) pode ser modificado diretamente no campo dentro da caixa de di�logo. Vale ressaltar que � preciso limp�-lo antes de adicionar um valor.

Caso os valores sejam m�ltiplos, como no caso do telefone, o nome da propriedade se apresenta como "Other Phone Numbers...", permitindo a adi��o de mais valores na caixa de di�logo que � aberta, conforme o exemplo a seguir:

Na caixa de di�logo clique em "Other Phone Numbers�" para abrir o popup;
O tipo do telefone a ser modificado pode ser selecionado no drop-down;
Em seguida, basta digitar o n�mero na caixa e clicar no bot�o "Add" para adicion�-lo � conta de usu�rio.
Se for necess�rio remover um valor basta selecion�-lo e clicar no bot�o "Remove";
Para fechar o popup basta clicar em OK;
Para fechar a caixa de di�logo principal tamb�m basta clicar em OK e salvar as altera��es realizadas.

A altera��o de conta utilizando o ADUC � semelhante: para modificar a propriedade Telephone, por exemplo, deve-se clicar na aba Telephone, conforme mostram os passos a seguir:

Clique na aba "Telephone";
Modifique os n�meros exibidos na aba;
Se for necess�rio modificar os outros n�meros, basta clicar no bot�o "Other";
Com a caixa aberta basta entrar com os valores e clicar no bot�o "Add";
Para editar basta selecionar um n�mero e alterar o valor;
Depois de realizadas as opera��es clique em OK para fechar o popup e a caixa de di�logo aceitando as altera��es realizadas.

Usando PowerShell para Modificar Contas de Usu�rio

A ferramenta ADAC do Windows Server 2012 exibe o c�digo PowerShellgerado ao serem realizadas as opera��es atrav�s da sua interface gr�fica. Isso � interessante para verificar na pr�tica quais comandos s�o executados. Por�m, esse c�digo ainda pode ser simplificado.

Modificar valores simples utilizando o PowerShell � f�cil usando o comando da Listagem 1.

Listagem 1. Modificando valores �nico com PowerShell.


  Set-ADUser -Identity "CN=MEDEIROS Higor,CN=Users,DC=Devmedia,DC=com" `
  -OfficePhone "234 5678"

O comando "Set-ADUser" permite que o usu�rio seja identificado pelo nome exclusivo do objeto no Active Directory. A conven��o de nomenclatura para os comandos do PowerShell � utilizar o formato "verbo-substantivo". Assim, Set � o verbo usado quando se quer alterar alguma coisa. O par�metro "�OfficePhone" � utilizado para fornecer o n�mero de telefone que se deseja alterar. A maioria das propriedades das contas de usu�rio est� dispon�vel como par�metro no comando "Set-ADUser".

Para modificar os n�meros de telefone adicionais no PowerShell deve-se utiliza uma abordagem um pouco diferente. Ao inv�s de utilizar os par�metros nomeados no comando "Set-ADUser" deve-se utilizar os par�metros gen�ricos conforme a seguir:

Add: Adiciona um ou mais valores a uma propriedade;
Clear: Limpa todos os valores de uma propriedade;
Remove: Remove um ou mais valores de uma propriedade;
Replace: Substitui os valores de uma propriedade com os valores que forem fornecidos.

Quando todos os par�metros gen�ricos s�o utilizados em conjunto tem-se que primeiramente ser� executado o Remove, depois o Add, ap�s este o Replace e, por fim, o Clear.

O exemplo da Listagem 2 mostra como utilizar o Replace.

Listagem 2. Utilizando o par�metro Replace com PowerShell.


  Set-ADUser -Identity "CN=MEDEIROS Higor,CN=Users,DC=Devmedia,DC=com" `
  -Replace @{otherTelephone="2348 5678","3466 5678"}

Neste caso, � fornecida uma tabela hash "@{}" com o nome da propriedade e os novos valores separados por v�rgulas.

Muitas vezes se faz necess�rio copiar as informa��es de outra conta, isso ser� visto na pr�xima se��o.

Copiando atributos de outra conta

Uma situa��o muito corriqueira para os administradores do Active Directory � a modifica��o das propriedades de uma conta baseando-se nos valores da mesma propriedade de outra conta.

Para executar essa opera��o atrav�s de uma ferramenta GUI basta realizar as opera��es a seguir:

Abrir a ferramenta ADUC ou ADAC;
Pesquisar pelo usu�rio que se deseja fazer a c�pia;
Pesquisar a propriedade;
Copiar o valor;
Fechar a caixa de di�logo da propriedade;
Pesquisar o usu�rio que ser� modificado;
Procurar a propriedade;
Colar o valor e clicar em OK para salvar.

No entanto, realizar todas essas opera��es para uma conta n�o � t�o ruim, apesar de demandar um pouco de tempo, mas agora imagina fazer isso para centenas de contas? Essa � uma realidade que pertence a muito administradores.

Por isso o PowerShell ajuda bastante na automatiza��o desse tipo de tarefa. Utilizando o c�digo da Listagem 3 podemos realizar essa opera��o muito mais rapidamente.

Listagem 3. Copiando dados de uma conta e utilizando em outra conta com PowerShell.


  $source = Get-ADUser -Identity crantonio -Properties OfficePhone, otherTelephone
  Set-ADUser -Identity "CN=MEDEIROS Higor,CN=Users,DC=Devmedia,DC=com" -OfficePhone $($source.OfficePhone)
  -Replace @{otherTelephone = $($source.otherTelephone)}

Primeiramente criou-se uma vari�vel para armazenar o retorno do comando "Get-ADUser". Essa vari�vel, portanto, representa a conta do usu�rio para onde as informa��es ser�o copiadas (crantonio). As propriedades necess�rias que se quer copiar s�o explicitamente informadas colocando os nomes delas no par�metro "�Properties". O comando �Get-ADUser� retorna um pequeno n�mero de propriedades, por padr�o.

Pode-se verificar que no "Get-ADUser" utiliza-se o samAccountName, mas tamb�m se poderia utilizar o nome exclusivo, o que � diferente do "Set-ADUser" que apenas aceita o �ltimo.

Por fim, o comando "Set-ADUser" � utilizado para modificar a conta do usu�rio. As express�es "$($source.OfficePhone)" e "$($source.otherTelephone)" possuem os valores do usu�rio copiado e ir�o substituir os valores antigos da conta sendo modificada.

Habilitando e Desabilitando as Contas de Usu�rio

Qualquer conta no Active Directory que esteja habilitada possui um risco potencial de seguran�a para a organiza��o. Caso os dados de login do usu�rio estejam comprometidos, um atacante pode ter acesso aos dados da empresa.

Assim, as que n�o est�o sendo usadas, mas que ainda s�o necess�rias devem ser desabilitadas para que ela n�o seja utilizada para login. Desabilitar essas contas � prefer�vel para preven��o do acesso em curto prazo. Essa possibilidade � mais interessante e menos trabalhosa do que deletar e depois ter que recria-la novamente e garantir que os dados sejam os mesmos do que os definidos anteriormente, principalmente os grupos da conta.

Uma boa pr�tica � sempre que criar os novos usu�rios deix�-los desabilitados at� que o usu�rio realmente necessite acessar.

Para desabilitar uma conta com as ferramentas GUI basta procur�-la, clicar com o bot�o direito sobre ela e escolher a op��o "Disable" no ADAC ou "Disable Account" no ADUC. Ap�s isso, o ADUC exibir� uma mensagem confirmando que a conta foi desabilitada, diferente do ADAC, que n�o exibe nenhuma mensagem.

O PowerShell fornece um comando para desabilitar uma conta, conforme o c�digo a seguir:

Disable-ADAccount -Identity hmedeiros

O �Identity� pode ser o samAccountName, conforme o exemplo anterior, ou ent�o o nome exclusivo.

Para certificar que a conta foi desabilitada pode-se utilizar o c�digo da Listagem 4.

Listagem 4. C�digo para verificar se a conta est� desabilitada.


  Search-ADAccount -AccountDisabled |
  Format-Table Name, DistinguishedName �AutoSize

Para habilitar uma conta o processo � ao contr�rio. Na ferramenta GUI deve-se clicar com bot�o direito na conta e escolher "Enable" no ADAC ou "Enable Account" no ADUC.

O PowerShell tamb�m disponibiliza um comando para que possamos habilitar uma conta:

Enable-ADAccount -Identity hmedeiros

Uma forma mais segura de alterar o objeto correto � utilizando o c�digo da Listagem 5.

Listagem 5. Utilizando um c�digo mais seguro para desabilitar uma conta atrav�s da pesquisa ao usu�rio.


  Get-ADUser -Identity hmedeiros
  Get-ADUser -Identity hmedeiros | Disable-ADAccount

Pode-se optar por desabilitar uma conta por um per�odo de tempo, mas �s vezes � necess�rio excluir uma conta em definitivo, que � o que veremos a seguir.

Deletando Contas

Quando uma conta � deletada ela n�o desaparece do Active Directory imediatamente, pois o objeto � marcado para exclus�o e tem a maioria das suas propriedades removidas. Com isso, a conta pode ser feita novamente, mas as propriedades precisam ser recriadas. Isso � diferente de um objeto na lixeira, pois este est� completo e pode ser restaurado com todas as suas propriedades. A seguir temos uma lista de cada vers�o do Active Directory no sistema operacional Windows e como os objetos s�o tratados quando exclu�dos (objeto marcado ou enviado para lixeira):

No Windows Server 2008 R2 e vers�es anteriores ou Windows Server 2012 sem o "AD Recycle Bin" ativado, o objeto � marcado para exclus�o.
No Windows Server 2008 R2 ou Windows Server 2012 com o "AD Recycle Bin" ativado, o objeto vai para a lixeira do Active Directory.

Os objetos permanecem na lixeira do Active Directory por um per�odo de 60 ou 180 dias, dependendo da vers�o do Windows que est� sendo utilizado. No entanto, esse per�odo pode ser modificado se necess�rio no pr�prio sistema.

Ap�s este per�odo expirar, o objeto � finalmente removido do Active Directory automaticamente pelo sistema.

Para deletar um objeto utilizando uma ferramenta GUI basta executar os passos a seguir:

Pesquise pelo objeto;
Clique com o bot�o direito para exibir o menu de contexto;
Clique em "Delete";
Confirme a a��o no popup.

Vale ressaltar que caso o "Protect from Accidental Deletion" esteja habilitado, n�o ser� poss�vel deletar o objeto dessa forma. Assim, essa prote��o deve ser retirada antes de realizar a dele��o. Existe um checkbox na se��o propriedades da conta em que � poss�vel retirar o checkbox marcado. Ap�s isso, a conta pode ser deletada normalmente conforme os passos anteriores.

Se a opera��o de dele��o for realizada em uma conta no Power Shell, uma mensagem de "Access Denied" ser� exibida se a conta estiver protegida para dele��o. Por isso, antes de realizar uma dele��o basta verificar se o objeto est� protegido, conforme mostra o c�digo da Listagem 6.

Listagem 6. Verificando se h� prote��o contra exclus�o no objeto utilizando o PowerShell.


  Get-ADUser -Identity hmedeiros -Properties ProtectedFromAccidentalDeletion

Se a propriedade estiver selecionada no checkbox ser� retornado o valor True. Para remover essa prote��o basta executar o c�digo da Listagem 7.

Listagem 7. Excluindo a prote��o contra dele��o com PowerShell.


  Get-ADObject -LDAPFilter "(Name=Medeiros Higor)" |
  Set-ADObject -ProtectedFromAccidentalDeletion:$false

Primeiramente procuramos pelo objeto e depois utilizamos um pipe para o comando Set-ADObject.

Para realizar a dele��o agora basta executar o seguinte comando:

Remove-ADUser -Identity hmedeiros -Confirm:$false

Deixamos off o par�metro "-Confirm:$false" para receber uma mensagem que for�a a confirma��o da a��o.

Modificando o Valor de Atributos M�ltiplos valores

O PowerShell permite trabalhar com atributos de m�ltiplos valores. Para visualiz�-los basta executar o c�digo da Listagem 8.

Listagem 8. Trabalhando com valores m�ltiplos valores no PowerShell.


  Get-ADUser -Identity hmedeiros -Properties * |
  select -ExpandProperty otherHomePhone

Para remover uma das entradas da lista basta executar o seguinte c�digo:


  Set-ADUser -Identity hmedeiros  -Remove @{otherHomePhone = "2348 5678"}

Para adicionar um valor basta executar o c�digo o seguinte comando:


  Set-ADUser -Identity hmedeiros -Add @{otherHomePhone = "2348 5678"}

E para verificar as altera��es pode-se utilizar o comando "Get-ADUser".

Modificando M�ltiplas Contas

Algumas vezes se faz necess�rio modificar diversas contas ao mesmo tempo. Um exemplo disso � quando uma organiza��o cria uma nova filial e diversos funcion�rios precisam ser deslocados para este novo local. Dessa forma, seria necess�rio modificar o local de todos os funcion�rios no Active Directory.

As ferramentas GUI suportam a sele��o de m�ltiplos objetos e a edi��o de alguns atributos (n�o todos), o que � uma limita��o. Se for necess�ria a edi��o de um atributo n�o suportado, ainda assim � poss�vel edit�-lo, por�m � t�o complicado que � melhor proceder de outra forma.

Utilizando o PowerShell isso � realizado muito mais rapidamente e de forma muito mais simples: primeiramente � preciso criar um arquivo CSV, conforme a Listagem 9.

Listagem 9. Arquivo CSV


  SamAccountName,Office,StreetAddress,POBox,City,State,Zip,Country
  hmedeiros,"DevmRJ","Rua Antonio M.",PO567,RJ,RJ,123456,BR
  cmagalhaes,"DevmRJ","Rua Antonio M.",PO123,RJ,RJ,123456,BR
  crantonio,"DevmRJ","Rua Antonio M.",PO567,RJ,RJ,123456,BR
  dtonin,"DevmRJ","Rua Antonio M.",PO123,RJ,RJ,123456,BR

Ap�s isso, basta executar o comando da Listagem 10.

Listagem 10. Realizando as modifica��es em massa com PowerShell.


  Import-Csv -Path C:\Scripts\alteracaoendfilial.csv |
  foreach {
  Set-ADUser -Identity $_.SamAccountName -Office $_.Office `
  -StreetAddress $_.StreetAddress -POBox $_.POBox -City $_.City `
  -State $_.State -PostalCode $_.Zip -Country $_.Country
  }

Renomeando Contas

Para renomear uma conta basta seguir os procedimentos a seguir em uma ferramenta GUI disponibilizada pelo Active Directory:

Clicar com o bot�o direito na conta;
Escolher a op��o "Rename";
Alterar o nome da conta;
Pressionar ENTER;
Completar a caixa de di�logo com as informa��es "Full Name", "First Name", "Last Name", "Display Name" e "User Logon Name".
Por fim, clicar em OK.

Para renomear uma conta no PowerShell, por incr�vel que pare�a, � uma atividade um pouco mais complicada do que utilizar uma ferramenta gr�fica, visto que teremos que utilizar alguns pipes e dividir o c�digo em duas partes, conforme a Listagem 11.

Listagem 11. Renomeando uma conta no PowerShell.


  Get-ADUser -Identity hmedeiros |
  Rename-ADObject -NewName "MEDEIROS Higor"
   
  Get-ADUser -Identity hmedeiros -Properties * |
  Set-ADUser -DisplayName "Z MEDEIROS Higor" -SamAccountName zhmedeiros `
  -GivenName "Higor"

Feito isso teremos conclu�do tudo que � necess�rio para gerenciar as contas no Active Directory de forma autom�tica.

Espero que tenham gostado do artigo. At� a pr�xima.

Bibliografia

[1] Usando o Windows PowerShell
https://technet.microsoft.com/pt-br/library/dn425048.aspx.

[2] Introdu��o ao Active Directory
https://technet.microsoft.com/pt-br/library/cc668412.aspx.

[3] Richard Siddaway, Learn Active Directory Management. Manning, 2014.

Tecnologias:

Confira outros conte�dos:

Assista grátis a nossa aula inaugural

Perguntas frequentes

Quem somos?

Por que a programação se tornou a profissão mais promissora da atualidade?

Como faço para começar a estudar?

Em quanto tempo de estudo vou me tornar um programador?

Sim, você pode se tornar um programador e não precisa ter diploma de curso superior!

O que eu irei aprender estudando pela DevMedia?

Principais diferenciais da DevMedia

Qual o investimento financeiro que preciso fazer para me tornar um programador?

Como funciona a forma de pagamento da DevMedia?

Por Higor Em 2015

Coment�rios nesta publica��o Escrever um coment�rio sobre conte�do

Carlos Felix

N�vel

Amigos, boa tarde. Temos um ERP em produ��o na empresa e, frequentemente h� atualiza��es a serem feitas. Atualmente temos que acessar host por host na empresa para realiza a atualiza��o. Gostaria de saber se h� uma ferramenta que quando houver atualiza��o, est� seja feita quando o usu�rio efetuar login no Active Directory.

há +1 ano

Ver coment�rio anterior

H�lio Devmedia

DevMedia

Ol� Carlos, tudo bem, como funciona a atualiza��o do seu sistema hoje, � realizado o download manual de um aplicativo atualizador e precisa ser executado pelo pr�prio usu�rio ou � necess�rio abrir o aplicativo ERP e acessar algum menu?

há +1 ano

Nossos casos de sucesso

Leonardo Carlos

Eu sabia pouqu�ssimas coisas de programa��o antes de come�ar a estudar com voc�s, fui me especializando em v�rias �reas e ferramentas que tinham na plataforma, e com essa bagagem consegui um est�gio logo no in�cio do meu primeiro per�odo na faculdade.

Lucas Rodrigues

Estudo aqui na Dev desde o meio do ano passado! Nesse per�odo a Dev me ajudou a crescer muito aqui no trampo.
Fui o primeiro desenvolvedor contratado pela minha empresa. Hoje eu lidero um time de desenvolvimento!
Minha meta � continuar estudando e praticando para ser um Full-Stack Dev!

Her�clito J�nior

Economizei 3 meses para assinar a plataforma e sendo sincero valeu muito a pena, pois a plataforma � bem intuitiva e muuuuito did�tica a metodologia de ensino. Sinto que estou EVOLUINDO a cada dia. Muito obrigado!

Julio Cablen

Nossa! Plataforma maravilhosa. To amando o curso de desenvolvimento front-end, tinha coisas que eu ainda n�o tinha visto. A did�tica � do jeito que qualquer pessoa consegue aprender. S�rio, to apaixonado, adorando demais.

Joelberth Sena

Adquiri o curso de voc�s e logo percebi que s�o os melhores do Brasil. � um passo a passo incr�vel. S� n�o aprende quem n�o quer. Foi o melhor investimento da minha vida!

Felipe Nunes

Foi um dos melhores investimentos que j� fiz na vida e tenho aprendido bastante com a plataforma. Voc�s est�o fazendo parte da minha jornada nesse mundo da programa��o, irei assinar meu contrato como programador gra�as a plataforma.

Wanderson Oliveira

Comprei a assinatura tem uma semana, aprendi mais do que 4 meses estudando outros cursos. Exerc�cios pr�ticos que n�o tem como n�o aprender, est�o de parab�ns!

Jos� Lucas

Obrigado DevMedia, nunca presenciei uma plataforma de ensino t�o presente na vida acad�mica de seus alunos, parab�ns!

Eduardo Dorneles

Aprendi React na plataforma da DevMedia h� cerca de 1 ano e meio... Hoje estou h� 1 ano empregado trabalhando 100% com React!

Adauto Junior

J� fiz alguns cursos na �rea e nenhum � t�o bom quanto o de voc�s. Estou aprendendo muito, muito obrigado por existirem. Est�o de parab�ns... Espero um dia conseguir um emprego na �rea.

Ver todos os casos de sucesso

Automatizando a Ger�ncia de Contas no Active Directory usando Power Shell

Veja neste artigo como automatizar todas as tarefas rotineiras que os administradores do Active Directory precisam lidar no dia a dia. Veremos diversos exemplos de como proceder utilizando as ferramentas GUI.