Active Directory-Organisationseinheit, Benutzer- und Gruppenerstellung

Planen Sie zuerst den OU-Baum

Eine Organisationseinheit ist nicht nur ein Ordner. Es ist die Einheit, die Sie später verwenden, um Gruppenrichtlinien anzuwenden und kleine Aufgaben wie das Zurücksetzen von Passwörtern zu delegieren. Entwerfen Sie also den Baum so, wie das Büro tatsächlich ausgeführt wird, bevor Sie ein einzelnes Konto erstellen:

Eine oberste Organisationseinheit pro Standort oder Zweigstelle – zum Beispiel Delhi Office, Jaipur Office. Innerhalb jeder Site untergeordnete Organisationseinheiten nach Abteilung oder Funktion – Konten, Vertrieb. Behalten Sie innerhalb jedes Standorts getrennte Organisationseinheiten für Benutzer, Computer und Gruppen bei, da die Richtlinien für Personen und Maschinen unterschiedlich sind. Fügen Sie oben zwei Dienstprogramm-Organisationseinheiten hinzu: Neue Computer (ein Staging-Bereich für neu hinzugefügte Maschinen) und Deaktivierte Benutzer (Abgänger bleiben vor dem Löschen hier).

Erstellen Sie die Organisationseinheiten in dsa.msc

Öffnen Sie auf dem Domänencontroller „Active Directory-Benutzer und -Computer“ über das Feld „Ausführen“:

dsa.msc

Right-click the domain, choose New → Organizational Unit, and build the tree from your plan. On the creation dialog, tick Protect container from accidental deletion for every OU. PowerShell does the same job and is easier to repeat - and it protects the OU by default:

New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"

Erstellen Sie Benutzer mit einer Benennungsregel

Klicken Sie mit der rechten Maustaste auf die Organisationseinheit der Abteilung → Neu → Benutzer und erstellen Sie jedes Konto innerhalb seiner geplanten OU – niemals im Standardcontainer „Benutzer“. Zwei Entscheidungen entscheiden hier darüber, wie sauber Ihr Verzeichnis bleibt:

Verwenden Sie eine Benennungsregel für Anmeldenamen – zum Beispiel Vorname.Nachname – einmal festgelegt und nie gebrochen, auch nicht für ähnliche Namen. Aktivieren Sie Benutzer muss Passwort bei der nächsten Anmeldung ändern, damit das von Ihnen festgelegte Passwort nur ein einmaliges Startpasswort ist. Füllen Sie jetzt die Abteilung und die Beschreibung aus – Sie werden sich in Zukunft bei jedem Audit dafür bedanken.

Das gleiche Konto von PowerShell:

New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true

Erstellen Sie eine Sicherheitsgruppe pro Ressource

Mit Gruppen bleiben Berechtigungen überschaubar. Erstellen Sie innerhalb der Gruppen-Organisationseinheit der Site eine Sicherheitsgruppe pro Ressource – zum Beispiel GRP-Accounts-Share für die Kontodateifreigabe. Ein klares Präfix wie GRP- macht jede Gruppe auf einen Blick erkennbar und die Gruppe ist eine Sicherheitsgruppe mit Globalem Geltungsbereich.

Erteilen Sie die Freigabeberechtigung dann nur der Gruppe, niemals einer Person. Wenn jemand die Abteilung wechselt, verschieben Sie seine Gruppenmitgliedschaft; die Freigabe selbst wird nie wieder berührt.

Mitglieder hinzufügen, Rechte an die Gruppe vergeben

Fügen Sie jeden Benutzer zu den Gruppen hinzu, die sein Job benötigt. In PowerShell dauert das Hinzufügen des Beispielbenutzers zur Kontenfreigabegruppe eine Zeile:

Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"

Schützen Sie die Struktur und überprüfen Sie sie

Beenden Sie die beiden Gewohnheiten, die ein gepflegtes Verzeichnis von einem glücklichen unterscheiden. Vergewissern Sie sich zunächst, dass jede Organisationseinheit wirklich geschützt ist: Klicken Sie mit der rechten Maustaste auf die Organisationseinheit → Eigenschaften → Registerkarte „Objekt“ und prüfen Sie, ob Objekt vor versehentlichem Löschen schützen aktiviert ist – ein unachtsames Löschen einer Organisationseinheit löscht alle darin enthaltenen Benutzer und Computer aus.

Zweitens überprüfen Sie das Ergebnis: Öffnen Sie jede OU und bestätigen Sie, dass in der Benutzerliste nur Konten in ihren geplanten OUs angezeigt werden und dass niemand in den Standardcontainern zurückgelassen wurde. Schreiben Sie dann Ihre Namensregel und Ihren OU-Plan auf einer Seite auf und bewahren Sie sie zusammen mit der Serverdokumentation auf, damit der nächste Administrator derselben Struktur folgt, anstatt eine neue zu erfinden.