Active Directory.pdf - Gattner

Automatisieren der Active Directory-Objektverwaltung 381
.ldf-Dateien umfassen viele Einträge, die durch eine Leerzeile voneinander getrennt werden. Jeder
Eintrag setzt sich aus mehreren Zeilen mit bestimmten Informationen zusammen. Dn wird für die
Angabe des zu bearbeitenden Objekts verwendet. Changetype wird für die Angabe der zu ergreifenden
Maßnahme verwendet. Bei den gültigen Werten für changetype handelt es sich um die Werte add,
modify und delete. Ein Bindestrich (-) wird für die Trennung mehrerer Attribute eines einzelnen
Objekts verwendet und ist außerdem am Ende jedes Eintrags erforderlich, wenn für changetype der
Wert modify festgelegt ist. Mithilfe der folgenden .ldf-Datei werden zwei Attribute des Benutzerobjekts
Paul West bearbeitet:
dn: CN=Paul West,OU=Buchhaltung,DC=Adatum,DC=com
changetype: modify
replace: physicalDeliveryOfficeName
physicalDeliveryOfficeName: 315
-
replace: title
title: Leitender Angestellter der Personalabteilung
-
Das Tool LDIFDE kann in zahlreichen Szenarien nützlich sein:
• Massenverarbeitung von Benutzerkonten Exportieren Sie hierfür die ausgewählten Benutzerkonten
in eine .ldf-Datei, bearbeiten Sie die Datei entsprechend den Anforderungen für den Import,
und importieren Sie anschließend die .ldf-Datei. Wenn Sie die .ldf-Datei nach dem Export bearbeiten
möchten, sind weitreichendere Bearbeitungen als das Suchen und Ersetzen des zu bearbeitenden
Attributwertes erforderlich. Der Wert changetype ist während eines Exports auf add
gesetzt. Nachdem der Export abgeschlossen ist und bevor der Import durchgeführt wird, muss dieser
Wert in change geändert werden. Die Attributwerte müssen ebenfalls in das für den Import
erforderliche Format geändert werden.
• Verschieben von Benutzerkonten in eine neue Domäne Benutzerkonten in einer Domäne können in
eine .ldf-Datei exportiert und anschließend in eine neue Domäne importiert werden. Die vorhandenen
Sicherheitskennungen (Security Identifiers, SIDs) der Benutzer werden dabei nicht beibehalten.
Benutzer können jedoch im Rahmen des Importvorgangs den geeigneten Gruppen
hinzugefügt werden.
• Massenerstellung von neuen Benutzern Zusätzlich zu den Zeilen dn und changetype handelt es
sich bei den Attributen, die zum Erstellen eines neuen Benutzers unbedingt erforderlich sind, um
die Attribute cn=displayname und objectClass=user. Das Attribut samAccountName=logonname
sollte ebenfalls integriert werden. Anderenfalls wird es zufällig generiert. Neu erstellte Benutzer
sind deaktiviert. Sie können für Benutzer mithilfe des Attributs unicodePwd ein neues Kennwort
festlegen, wenn Ihre Verbindung mit dem Server durch SSL verschlüsselt ist.
Sie sollten den Export von Benutzerinformationen auf die Objekte und Attribute beschränken, an
denen Sie Änderungen vornehmen möchten. Wenn beispielsweise die Buchhaltung in eine neue
Unternehmensniederlassung verlagert wird, exportieren Sie nur die Benutzerobjekte in der OU Buchhaltung
und nur die Adressattribute, die geändert werden. Während des Exportvorgangs können Sie
einen Filter definieren, mit dem Sie die zu exportierenden Active Directory-Objekte auf bestimmte
Objektklassen und Objekte mit bestimmten Attributwerten beschränken. Sie können darüber hinaus
einen Stamm-DN festlegen, um die OU zu definieren, für die die LDAP-Abfrage durchgeführt wird.
Es werden nur Objekte mit dem Stamm-DN zurückgegeben. Über einen Bereich wird definiert, wie
viele Ebenen innerhalb des Stamm-DNs durchsucht werden.