Windows / Active Directory - 用户/组

Question

我正在寻找一种方法来查找与特定组关联的Windows登录。 我正在尝试将权限添加到仅允许以下格式的名称的工具：

DOMAIN\USER 
DOMAIN\GROUP

我有一个我需要添加的活动目录格式的用户列表：

ou=group1;ou=group2;ou=group3

我尝试添加DOMAIN \\ Group1，但是我收到了“用户未找到”错误。

PS也应该注意我不是兰管理员

Answer 1

以编程方式还是手动方式？

手动，我更喜欢AdExplorer ，这是一个很好的Active Directory浏览器。 您只需连接到您的域控制器，然后您就可以查找用户并查看所有详细信息。 当然，您需要域控制器的权限，但不确定哪个。

以编程方式，它取决于您的语言。 在.net上， System.DirectoryServices命名空间是您的朋友。 （遗憾的是，这里没有任何代码示例）

对于Active Directory，我不是一个专家，除了如何查询它，但这里有两个我认为有用的链接：

http://www.computerperformance.co.uk/Logon/LDAP_attributes_active_directory.htm

http://en.wikipedia.org/wiki/Active_Directory (关于AD结构的一般内容）

Answer 2

在计算机上以域管理员身份登录后，您需要转到Active Directory用户管理单元：

1. 转到开始 - >运行并输入mmc。
2. 在MMC控制台中，转到文件 - >
3. 添加/删除管理单元单击“添加选择”
4. Active Directory用户和计算机，然后选择添加。
5. 点击关闭然后点击确定。

从这里，您可以展开域树并搜索（通过右键单击域名）。

您可能不需要特殊权限来查看Active Directory域的内容，尤其是在您登录该域时。 值得一试看你能走多远。

搜索某人时，可以从“视图” - >“选择列”中选择列。 这可以帮助您搜索您要查找的人或组。

Answer 3

您不需要域管理员权限来查看活动目录。 默认情况下，任何（经过身份验证的？）用户都可以从目录中读取所需的信息。

如果不是这种情况，例如，计算机（也有相关帐户）无法验证其用户的帐户和密码。

您只需要管理员权限即可更改目录的内容。

我认为可以设置更多受限制的权限，但情况可能并非如此。

Answer 4

OU是组织单位（有点像资源管理器中的子文件夹），而不是组，因此group1,2和3实际上不是组。

您正在寻找DN属性，也称为“distinguishedName”。 一旦你拥有了DOMAIN \\ DN，你就可以使用它。

编辑：对于组，CN（公用名）也可以工作。

Active Directory中的完整字符串通常如下所示：

CN =用户名，CN =用户，DC =域名，DC = com的

（可以更长或更短，但重要的是“ou”部分对于你想要实现的目标毫无价值。

Answer 5

感谢adeel825和Michael Stum。

我的问题是，虽然我是一个大公司，无法以域管理员身份登录，也无法查看活动目录，所以我想我的解决方案是尝试获得该级别的访问权限。

Answer 6

好吧，AdExplorer在您的本地工作站上运行（这就是我喜欢它的原因）并且我相信大多数用户无论如何都可以读取AD，因为这实际上是需要工作的东西，但我不确定。

Answer 7

安装Windows Server CD上的“Windows支持工具”（CD 1，如果它是Windows 2003 R2）。 如果您的CD / DVD驱动器是D：那么它将在D：\\ Support \\ Tools \\ SuppTools.msi中

这为您提供了一些额外的“get in”AD工具：LDP.EXE - 适合在AD中读取信息，但UI有点臭。 ADSI Edit - MMC.EXE的另一个管理单元，您可以浏览AD并获取您正在寻找的所有那些讨厌的AD属性。

您可以在本地工作站上安装这些工具，并从那里访问AD而无需域管理员权限。 如果您可以登录到域，则至少可以查询/读取AD以获取此信息。