Gebruiker toevoegen aan alle security groepen binnen een OU

[jeroentjeh]

Mijn vraag

Bij een klant van mij draaien we een domein met Active Directory op een Microsoft Server 2008 r2. Deze 2008 r2 machine gaat er binnenkort uit maar dit heeft niks met de vraag te maken.

De vraag is als volgt:

Hoe kan ik een gebruiker toevoegen aan alle security groepen (300+) binnen een ou? is dit met powershell te realiseren?

Relevante software en hardware die ik gebruik

Active Directory
Microsoft Server 2008 r2

Wat ik al gevonden of geprobeerd heb

Google afgestruind naar oplossingen maar kom nog geen juiste antwoorden tegen. Kan me voorstellen dat dit bijvoorbeeld met powershell gedaan kan worden.

[Room42]

Ja, dat kan met powershell (natuurlijk, zou ik haast zeggen). Wat had je al gevonden (of gezocht) want 'powershell add user to groups' zou toch al heel veel nuttigs moeten opleveren.

edit:

Met powershell add user to multiple groups moet je zéker het antwoord vinden.

[ Voor 61% gewijzigd door Room42 op 22-07-2020 11:50 ]

[jeroentjeh]

Hallo @Room42

Ik kwam voornamelijk uit op hoe je meerdere users uit een OU toe kan voegen aan een securitygroep. Wat ik wil is dat de OU qua securitygroepen wordt uitgelezen en aan elke securitygroep hiervan een gebruiker wordt toegevoegd.

Deze heb ik nog niet kunnen vinden.

[Room42]

Ok, dan kauw ik nog een search query voor je voor.

powershell get groups in specific ou

Als je de groups hebt, kun je met ForEach-Object (% { ... } in het kort) de user aan die group toevoegen.

edit:

@jeroentjeh Ik zal nog iets meer hints geven omdat ik me voor kan stellen dat het verwarrend is.

Met Get-ADGroup's parameter -SearchBase kun je in een specifieke OU zoeken.
De resultaten daarvan kun je pipen naar Add-ADGroupMember.

Ik zou het eerst even op een Test-OU proberen.

[ Voor 69% gewijzigd door Room42 op 22-07-2020 11:58 ]

[bregweb]

jeroentjeh schreef op woensdag 22 juli 2020 @ 11:42:
De vraag is als volgt:
Hoe kan ik een gebruiker toevoegen aan alle security groepen (300+) binnen een ou? is dit met powershell te realiseren?

Mag ik vragen waarom je dit wilt? Is er niet iets mis met je inrichting als je deze vraag op je bord krijgt?

[jeroentjeh]

Er is zeker wat mis met de inrichting vandaar dat er ook een migratie gepland staat voor deze klant om het te 'ontzooien' qua rechten. Voor nu heb ik wel even alle rechten nodig voor een user binnen alle mappen.

[jeroentjeh]

Room42 schreef op woensdag 22 juli 2020 @ 11:52:
Ok, dan kauw ik nog een search query voor je voor.

powershell get groups in specific ou

Als je de groups hebt, kun je met ForEach-Object (% { ... } in het kort) de user aan die group toevoegen.

edit:

@jeroentjeh Ik zal nog iets meer hints geven omdat ik me voor kan stellen dat het verwarrend is.

Met Get-ADGroup's parameter -SearchBase kun je in een specifieke OU zoeken.
De resultaten daarvan kun je pipen naar Add-ADGroupMember.

Ik zou het eerst even op een Test-OU proberen.

Thanks ik ga er even mee aan de slag.

[The Eagle]

Migraties en changes tegelijk uitvoeren is recipe for disaster he, dat snap je?
Leuk bedacht dat het in het zelfde window kan en moet ("als je toch bezig bent"...), maar als je tijdens je migratie terug moet ben je mooi het bokje.

Ik zeg het maar vooraf, scheelt jou mogelijk een hoop grijze haren achteraf

[jeroentjeh]

Room42 schreef op woensdag 22 juli 2020 @ 11:52:
Ok, dan kauw ik nog een search query voor je voor.

powershell get groups in specific ou

Als je de groups hebt, kun je met ForEach-Object (% { ... } in het kort) de user aan die group toevoegen.

edit:

@jeroentjeh Ik zal nog iets meer hints geven omdat ik me voor kan stellen dat het verwarrend is.

Met Get-ADGroup's parameter -SearchBase kun je in een specifieke OU zoeken.
De resultaten daarvan kun je pipen naar Add-ADGroupMember.

Ik zou het eerst even op een Test-OU proberen.

Gefixed met het volgende powershell commando:

import-module ActiveDirectory

Get-ADGroup -Filter 'GroupCategory -eq "Security" -and GroupScope -ne "DomainLocal"' -SearchBase 'OU=SubOU,OU=HoofdOU,DC=domein,DC=local' | Add-ADGroupMember -Members 'gebruikersnaam'

Bedankt voor de hulp!

[Question Mark]

jeroentjeh schreef op woensdag 22 juli 2020 @ 11:42:
Hoe kan ik een gebruiker toevoegen aan alle security groepen (300+) binnen een ou? is dit met powershell te realiseren?

Waarom ga je dit doen?

Is het niet handiger om eerst een rechtenoverzicht te maken op basis van bv functie, en dan RBAC te gaan introduceren?

Je maakt dan een groep aan bv. "kantoormederkers X", en deze groep maak je lid van alle benodigde groepen die rechten op de resources hebben.

Vervolgens hoef je je users dan niet meer lid te maken van 300+ groepen. Dat is onoverzichtelijk en onbeheersbaar.

Daarnaast loop je, zeker in een tijdelijke migratie-situatie, het risico dat je de maximale grootte van je Kerberos tickets gaat benaderen.

Problems with Kerberos authentication when a user belongs to many groups

Zelfs voor de time-being zou ik het anders oplossen (als je er voor zou kiezen om niet eerst netjes de rechten te gaan ombouwen). Maak één groep aan die lid is van alle groepen in je OU, en maak al je users lid van die ene groep.

[MAX3400]

Extra: mocht je ooit met ADFS en claims gaan werken, haal je je nog meer op je hals want niet elke relying party zit te wachten dat je 900 groepen over de lijn stuurt. Mag je daar zometeen weer filters op gaan zetten terwijl je nu eigenlijk bezig bent om "zoveel mogelijk niet te filteren".