Hoe bij meedere users in Active Dir de rechten aanpassen ?

[SLeddert]

Onze AD draait op Win2003 SP1.
De users staan onderverdeeld in diverse OU's.

Nu wil ik graag aan alle users in de AD (alleen de users) een extra permission toevoegen.
Bij één user gaat dit gewoon via 'Eigenschappen van de User' en dan het 'Security-Tab'.
Echter zodra ik meedere users selecteer is dit tabblad er niet meer en kan ik dus niet een permissie geven aan twee users tegelijkertijd.
Aangezien we 3500+ users hebben, ga ik dit niet één voor één uitvoeren.

Wie kan me vertellen hoe ik aan alle users een permissie kan toevoegen ?

[Bor]

Kijkt u eens: klik hier (CSVDE en LDIFDE)

Je hebt natuurlijk ook tools die dit voor je kunnen doen, mogelijkheid bv: hier

[ Voor 80% gewijzigd door Bor op 14-11-2006 12:42 ]

[Verwijderd]

wat wil je bereiken?

[SLeddert]

Verwijderd schreef op dinsdag 14 november 2006 @ 12:56:
wat wil je bereiken?

Ik wil aan alle user accounts 'Anonymous Logon' (read) toevoegen, zodat onze scanners het email adres en de Display names van alle users kunnen lezen

[Bor]

Dat kan als het goed is prima met de eerder genoemde MS tools. Heb je die al bekeken in de tussentijd?

[Asteroid9]

En anders "ADmodify"
Handige grafische utility voor bulk aanpassingen, oorspronkelijk gemaakt door MS developers dacht ik.

[Bor]

Misschien een rare vraag maar wat heb je zelf al ondernomen om het antwoord te vinden en waarom voldoen die antwoorden niet? Een search met google op "bulk modify active directory" levert namelijk al behoorlijk veel antwoorden zoals CSVDE en LDIFDE maar ook complete tools. Natuurlijk kun je een reden hebben om die (standaard) tools niet te kiezen. Ik zou graag horen welke redenen dit zijn zodat we je misschien beter kunnen adviseren.

[Verwijderd]

1 van de hits als je die query door google gooit is admodify.net waar ik persoonlijk goeie ervaringen mee heb.

[SLeddert]

Ik heb net even de twee hierboven aangegeven grafische tools bekeken.
Deze zijn inderdaad erg handig, maar je kan er geen security mee aanpassen...

@Bor: Die twee command line tools van jou zal ik nu eens gaan bekijken.
Maar ik moet eerlijk zeggen dat mijn voorkeur uitgaat naar grafische oplossingen. Dat vind ik overzichtelijker. ( Aangezien ik geen zin heb om per ongeluk 3500+ useraccounts om zeep te helpen )

[Verwijderd]

SLeddert schreef op dinsdag 14 november 2006 @ 14:06:
Ik heb net even de twee hierboven aangegeven grafische tools bekeken.
Deze zijn inderdaad erg handig, maar je kan er geen security mee aanpassen...

@Bor: Die twee command line tools van jou zal ik nu eens gaan bekijken.
Maar ik moet eerlijk zeggen dat mijn voorkeur uitgaat naar grafische oplossingen. Dat vind ik overzichtelijker. ( Aangezien ik geen zin heb om per ongeluk 3500+ useraccounts om zeep te helpen )

da's een kwestie van goed testen. eerste een paar test gebruikers, dan een paar bekende accounts (directe collega's bijv.), dan de rest.

[Bor]

SLeddert schreef op dinsdag 14 november 2006 @ 14:06:
Aangezien ik geen zin heb om per ongeluk 3500+ useraccounts om zeep te helpen )

Je maakt hopelijk wel een backup VOOR je dit soort bulk wijzigingen gaat doen (zeker wanneer je het nog nooit eerder hebt gedaan) ?

[Verwijderd]

Is het niet zinvoller om authenticated users/domain users toe tevoegen? Anders heb je een probleem met nieuwe accounts.

[Firefox]

Security dingen in de AD aanpassen loopt via de ACL's. De beste manier om dat collectief aan te passen - denk ik - is via ADSIEdit.msc Dan hoef je het maar op 1 plek toe te voegen, en vervolgens werkt het met inherritance door, ook naar nieuw te maken objecten op een later tijdstip.

Ik vraag me alleen af of dit security technisch wel zo fijn is, een anonimous user toegang geven op je AD, zelfs al is het alleen maar voor lezen... - maar dat is aan jou te oordelen.

[Bor]

Een anonymous user toegang geven al is het alleen maar leesrechten is zeker NIET fijn. Usernames uitlezen etc wil je zeker niet toestaan.

[SLeddert]

Bor de Wollef schreef op dinsdag 14 november 2006 @ 16:57:
Een anonymous user toegang geven al is het alleen maar leesrechten is zeker NIET fijn. Usernames uitlezen etc wil je zeker niet toestaan.

Uiteraard heb ik ook test OU's gemaakt en zijn er goede backups
Helaas zullen de scanners toch een LDAP query moeten kunnen doen op de AD.
En aangezien er op de scanners niet ingelogd mag worden, zal het wel via Anonymous moeten.
ADSIEdit kwam ik ook tegen via Google...eens kijken of dit is wat ik zoek

[engelbertus]

waarok moet dit per user, kan dit niet met een policy op de ou's toegepast worden of zo?


op de scanner mag niet worden ingelogd, kun je de scanners niet aan een gebruikersgroep of zo toevoegen die dan wel rechten krijgt?

[the_stickie]

Naast het feit dat wat je wil bereiken compleet waanin is qua veiligheid vraag ik me af of die scanner, die wel in AD usernames en e-mailadressen kan gaan ophalen, niet zo geconfigureerd kan worden dat ie netjes aanmeldt met een user met beperkte rechten

[ Voor 7% gewijzigd door the_stickie op 14-11-2006 17:50 ]

[Asteroid9]

En je gaat met een AD van 3500 users aan de slag terwijl je niet eens bekend bent met de gangbare AD beheerstools?

Nofi, maar ben jij de reguliere beheerder?

Iedere fatsoenlijke scanner voor jouw bedrijfsgrootte die LDAP ondersteunt zal ook authenticatie aan moeten kunnen.
Om domweg je permissies aan te passen lijkt me extreem onwenselijk.

[JackBol]

SLeddert schreef op dinsdag 14 november 2006 @ 17:34:
En aangezien er op de scanners niet ingelogd mag worden, zal het wel via Anonymous moeten.

Op de scanner inloggen heeft niets te maken met authenticatie tegen de AD. Je kan gewoon een account aanmaken met de juiste rechten en die scanner laten binden met deze credentials. Dan hoeft je je AD in ieder geval niet wagenwijd open te zetten.

[SLeddert]

_DH schreef op dinsdag 14 november 2006 @ 18:19:
[...]


Op de scanner inloggen heeft niets te maken met authenticatie tegen de AD. Je kan gewoon een account aanmaken met de juiste rechten en die scanner laten binden met deze credentials. Dan hoeft je je AD in ieder geval niet wagenwijd open te zetten.

Ok, dat zou zeker een goede optie zijn.
Ik zal morgen eens kijken of dit mogelijk is met de beschikbare scanners.

[_Arthur]

SLeddert schreef op dinsdag 14 november 2006 @ 18:24:
Ok, dat zou zeker een goede optie zijn.
Ik zal morgen eens kijken of dit mogelijk is met de beschikbare scanners.

Als je merk/type weet kunnen we mee zoeken (als we zin hebben natuurlijk).