使用联系人DN更新AD用户对象管理器属性

Question

合并后我有两个森林。 有些人的管理者居住在对面的森林中。 为了解决这个问题，我们在每个林中都有对面林的所有用户的联系人。 我正在尝试根据我在经理电子邮件地址上匹配的csv导入来更新多个用户的manager属性。 我的脚本可以匹配经理联系人的DN，但是由于某种原因，它不会将其添加到ad userobject经理属性中，表明它无法找到明显存在的对象的DN。

如果我运行带有ldap过滤器的简单get-adobject，它将返回经理联系人的DN：

PS C:\temp> Get-ADObject -ldapfilter "(&(objectclass=contact)(name=$fname*)(name=*$lname))" -SearchBase "OU=station,OU=CONTACTS,DC=workplace,DC=COM" |select distinguishedname

distinguishedname                                        
-----------------                                        
CN=Nick Hill,OU=station,OU=Contacts,DC=workplace,DC=com

但是，当尝试将此DN添加到用户管理器属性时，以下脚本将出错。 令人困惑的是，上面的命令明确指出了它找不到的DN。

以下脚本出现错误：

set-aduser : Identity info provided in the extended attribute: 'Manager' could not be resolved. Reason: 'Cannot find an object with identity: 'CN=Nick Hill,OU=station,OU=Contacts,DC=workplace,DC=com' under: 'DC=workplace,DC=com'.'.

---

$users = import-csv test1.csv

FOREACH ($user in $users)
 {
    $username = $user.UserName
    $employeeid = $user.employeeid
    $city = $user.city
    $country = $user.country
    $department = $user.department
    $division = $user.division
    $office = $user.location
    $state = $user.state
    $postalcode = $user.postal_code
    $manageremail = $user.manageremail
    $manager = get-aduser -f "mail -eq '$($manageremail)'"

    FUNCTION LocalManager 
    {
     get-aduser -f {mail -eq $username} |set-aduser -Manager $manager
    }

    FUNCTION RemoteManager 
    {
     $data = $manageremail.split("@")
     $name = $data[0]
     $namesplit = $name.split(".")
     $fname = $namesplit[0]
     $lname = $namesplit[1]
     $rmanager = Get-ADObject -SearchBase 'OU=station,OU=Contacts,DC=workplace,DC=com' -ldapfilter "(&(objectclass=contact)(name=$fname*)(name=*$lname))" 
     get-aduser -f {mail -eq $username} |set-aduser -Manager "$rmanager"
    }


    IF ($manager -eq $null)
    {
     RemoteManager
    }
    Else
    {
     Localmanager
    }

 }

Answer 1

我在处理跨域用户填充的脚本中遇到了类似的错误。 我已经导出了一些旧的经过分解的旧用户帐户，并且正在导入它们（带有适当的通用信息）以填充我们的测试/开发环境。

不幸的是，当我尝试使用不同域中的管理员在AD中将这些帐户创建为新用户时，发现以下问题：

Set-ADUser：服务器不愿处理请求。在第1行：char：1 + Set-ADUser-Identity $ user.SamAccountName -Manager $ user.Manager -Ser ... + ~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~ + CategoryInfo：InvalidOperation：（user.name:ADUser）[Set-ADUser]，> ADInvalidOperationException + FullyQualifiedErrorId：> ActiveDirectoryServer：8245，Microsoft.ActiveDirectory.Management.Commands.SetADUser

因此，这是在尝试为用户设置经理的DN。

function create-testaccts {

[CmdletBinding()]
param(
    [Parameter(Mandatory=$True,Position=1)]
    [string] $rootPath ,

    [Parameter(Mandatory=$True,Position=2)]
    [string] $userList ,

    [Parameter(Mandatory=$True,Position=3)]
    [string] $pw ,

    [Parameter(Mandatory=$True,Position=4)]
    [string] $OU = $(throw "Please specify a query.")

    )

$newUsers = import-csv $userList
$password = $pw | ConvertTo-SecureString -AsPlainText -Force

foreach ($user in $newUsers){

    $profPath = $rootpath + $user.samaccountname

    try {
        write-host -fore Cyan "Creating the user profile path - $profPath"
        new-item $profPath -ItemType Directory -Force -ErrorAction stop | Out-Null
    }# END OF TRY
    Catch [System.Management.Automation.ActionPreferenceStopException] {
        write-host -fore Yellow "caught a StopExecution Exception - Home directory creation " 
        $error[0]
    }# END OF CATCH

    try {
        Write-Host -Fore Cyan "Creating the user object in AD -" $user.Name 
        # Name              - Name
        # Givenname         - Firstname
        # Surname           - Lastname
        # Password          - AccountPassword Specific to new-aduser
        # SamAccountName    - same in both command/attribute name used userlogon and samaccount
        # Manager           - same in both command/attribute name
        # ProfilePath       - same in both command/attribute name
        # HomeDirectory     - same in both command/attribute name
        # HomeDrive         - same in both command/attribute name
        # Enabled           - False - same in both command/attribute name
        # UserPrincipalName - same in both command/attribute name
        # Server

        $name = $user.Name

        New-ADUser -Name "$name" `
                    -GivenName $user.givenname `
                    -Surname $user.surname `
                    -DisplayName $user.displayname `
                    -SamAccountName $user.SamAccountName `
                    -Path $ou `
                    -AccountPassword $Password `
                    -ProfilePath $user.profilepath `
                    -HomeDirectory $user.HomeDirectory `
                    -HomeDrive $user.homedrive `
                    -Enabled $False `
                    -UserPrincipalName $user.UserPrincipalName `
                    -Server domain.local `
                    -Credential $creds `
                    -ErrorAction Stop

                    #-Manager $user.Manager `
    }# END OF TRY
    Catch [System.Management.Automation.ActionPreferenceStopException] {
        Write-Host -fore Yellow "caught a StopExecution Exception - Account Creation" 
        $error[0]
    }# END OF CATCH

}#END FOREACH NEW USERS
} #END OF FUNCTION (CREATE-TESTACCTS)

当我尝试将其与受信任域一起使用时，由于在本地域中找不到管理器DN而导致失败。 我已经尝试了多种方法，但是似乎无法找出为什么这样做并且似乎也不会连锁。

但是我找到了一种解决方法，可以在没有mgr字段的情况下创建用户，然后使用以下链接/命令设置用户：

https://social.technet.microsoft.com/Forums/office/en-US/ade19ad5-ecfd-48af-987b-5958983676b6/active-directory-update-the-manager-field-when-the-manager-is- IN-A-不同的域？论坛= ITCG

Set-ADUser -Identity $ADUser_Domain1 -Credential $DomainAdmin_Domain1 -Server $Domain1 -Replace @{manager = $ManagerDN_Domain2}

这行得通，我不知道为什么替换行得通，但似乎需要通过凭据。 我什至尝试通过域2凭据。

总体而言，这非常令人困惑，我觉得如果本地会话凭据在域之间具有权限，那么它应该能够毫无问题地进行查找。 任何其他帮助或解释都将非常有帮助！