[AD] Query met variabelen

[Abom]

Ik ben een MMC snap-in aan het maken voor een aantal managers. Zij moeten een aantal groepen waar ze beheerder van zijn kunnen zien en beheren.

Na teveel tijd op Google/Technet te hebben gespendeerd, probeer ik het hier maar eens. alle zoek opdrachten met query, active directory, variable etc komen uit scripting of msdn uit.

Ik ben zover dat een statische 'Saved Query' in AD users and computers heb aangemaakt, deze zoekt dan op een bepaalde groep, laat alleen deze groepen zien en vervolgens heb ik er een knop voor aangemaakt zodat ze de properties kunnen openen.

Nu gaat dit over 128 verschillende groepen (staan allemaal in dezelfde OU) en ongeveer 30 verschillende beheerders. Om te voorkomen dat ik 30 verschillende queries en mmc-snapins moet maken, hoop ik eigenlijk dat ik met een query en een variabele kan zoeken naar groepen die als attribuut 'Managed By', %username% hebben.

Ik loop tegen twee problemen aan, namelijk: ik heb geen idee hoe/of ik een variabele zoals %username% kan gebruiken in een Query voor Active Directory Users and Computers. Wat ik zover getest heb werkt niet, alles wordt als string aangezien.
Tweede probleem is: wanneer ik een statische query maak met 'Managed By is (exactly) Jan', krijg ik geen groepen terug, terwijl Jan wel bij 'Managed By' staat. Ik krijg alleen groepen terug wanneer ik bijvoorbeeld 'Managed By is (exactly) *' gebruik.

Het enige wat de managers moeten kunnen doen is: de eigenschappen van de groepen waar zij manager van zijn kunnen bekijken. Dit lukt ook allemaal, het gaat om het gebruik van een enviromental variable in de query en om de uitkomst wanneer ik zoek op het attribuut 'Managed By'.

De reden dat ik de OU structuur wil behouden is omdat het zo voor beheers doeleinden beter ingericht is en tot nu toe (en in de nabije toekomst) ik niet echt veel eindgebruikers in AD zie werken.
Het gaat overigens over AD in 2003 native mode.

[ Voor 49% gewijzigd door Abom op 18-11-2005 09:23 ]

[BDannyV]

Waarom het niet via een andere weg doen?
Als je de users/groepen in een aparte OU plaatst, kun je de managers rechten geven over die OU's met delegation.

[Abom]

Dat zou een optie kunnen zijn.

Maar dan zou ik één OU moeten maken per manager van bepaalde groepen en dat zou totaal niet passen in de OU structuur die we nu gebruiken.

[mutsje]

Lijkt mij handig om in je starters post ook even je OU structuur op te nemen dan. Wat moet een manager precies kunnen doen behalve passwords resetten Mind voor password reset en must change password at next logon delegation is wel ff zoekwerk.

En welk OS hebben we het over 2003 kent namelijk meer objects dan 2000.

[ Voor 38% gewijzigd door mutsje op 18-11-2005 09:02 ]

[Abom]

Het gaat niet zo zeer om de structuur, maar ik heb de post wel even aangepast. Het gaat hier om een 2003 native AD.

Het gaat om twee dingen, namelijk:

1. Kan ik een query maken met een enviromental variable?

2. Waarom is de uitkomst van een query, wanneer ik op het attribuut 'Managed By' zoek, leeg?

[ Voor 8% gewijzigd door Abom op 18-11-2005 09:27 ]

[paulhekje]

1. ik denk het niet, misschien wel met andere tools, zoals hyena?

2. het resultaat van de query is alleen leeg als hij niks vind ;-)

zoek maar eens met de optie Field "Managed by" present, dan zal je alles vinden waar je "Managed by"gebruikt.

Je query is een ldap query, hij zoekt op common name niet op samaccountname (%username%). Je zult een custom ldap query moeten maken om dat op te lossen.
Maar zonder positief antwoord op punt 1 zal dat zowieso niet werken.

[ Voor 10% gewijzigd door paulhekje op 18-11-2005 10:15 ]

[Abom]

Bedankt voor de info, ben toch voor de 30 verschillende msc files gegaan.

paulhekje schreef op vrijdag 18 november 2005 @ 10:03:
Je query is een ldap query, hij zoekt op common name niet op samaccountname (%username%). Je zult een custom ldap query moeten maken om dat op te lossen.

Nu zou dit helemaal ideaal zijn, dan zou ik een query kunnen maken over het hele AD, zonder zooi in aparte OU's te stoppen. Maar het zoeken op het veld 'managed by' wil nog altijd niet, ook niet wanneer ik op de cn of dn zoek.
Iemand enig idee hoe ik wel dit veld kan gebruiken in een query?"

Gevonden: DN, maar je _moet_ als vergelijking 'is (exactly)' gebruiken, 'starts with' werkt niet omdat er geen wildcards in een query met DN (tenzij alleen *) mogen worden gebruikt.

[ Voor 17% gewijzigd door Abom op 29-11-2005 11:01 ]

[JackBol]

Abom schreef op donderdag 17 november 2005 @ 17:02:
Dat zou een optie kunnen zijn.

Maar dan zou ik één OU moeten maken per manager van bepaalde groepen en dat zou totaal niet passen in de OU structuur die we nu gebruiken.

als je de msdn goed had gelezen, had je gelezen dat ms hierin aandat je ou structuur (je hele ldap overigens) een weerspiegeling zou moeten zijn van je bedrijfsstructuur. Het lijkt nu misschien handig om 30 verschillende msc's te maken, maar op de lange termijn ga dit erg beheersintensief worden.

ik zou je dan ook erg aanraden om je ou structuur op orde te krijgen zodat je het beheer kan onderverdelen met behulp van de delegation functionaliteit binnen je AD.

geloof me, je zult me over 24 maanden erg dankbaar voor zijn voor deze tip

[Abom]

Dirk-Jan schreef op dinsdag 29 november 2005 @ 23:04:
[...]
als je de msdn goed had gelezen, had je gelezen dat ms hierin aandat je ou structuur (je hele ldap overigens) een weerspiegeling zou moeten zijn van je bedrijfsstructuur. Het lijkt nu misschien handig om 30 verschillende msc's te maken, maar op de lange termijn ga dit erg beheersintensief worden.

Ik heb ook mijn MS cursussen gedaan

Het grootste gedeelte van de OU structuur is ook opgezet aan de hand van het organogram van het bedrijf. Er zijn echter dingen die bijvoorbeeld afdelingsgrenzen overschrijden, één van deze dingen zijn groepen die toegang tot gedeelde mappen geven.

Bedankt voor de heads up though.

[ Voor 5% gewijzigd door Abom op 30-11-2005 07:31 ]