[討論] active directory帳號停用

看板MIS作者時間8年前 (2015/09/12 19:31), 8年前編輯推噓13(13推 0噓 36→)
留言49則, 13人參與, 最新討論串1/1
各位前輩好 請教一下 目前接到一個消息，就是要去把active directory帳號已離職的員工做停用。 但是希望系統能夠自動去停用。 我上網查了一些資訊。 sql server可以連到active directory中，但是好像只支援read-only，所以就 沒辦法把帳號改成停用了? 另一個就是寫程式，目前查到有c#的程式，不過可能要改寫，現在還在研究..如何自動化 。 因為是第一次做這個東西，想先詢問前輩們， 如果您也是自動將active directory帳號停用的話，是採用什麼方式進行的呢? 希望能參考一下做法，謝謝您 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 36.228.181.131 ※ 文章網址: https://www.ptt.cc/bbs/MIS/M.1442057515.A.0A1.html
推
09/12 20:35, , 1F
離職人員跟一般人員在AD中有什麼不一樣嗎?例如會被移到某
09/12 20:35, 1F
→
09/12 20:35, , 2F
OU，或是AD內某欄位的值不一樣?
09/12 20:35, 2F
AD帳號的話，可以設定帳號停用和啟用。 離職人員的話，會存在資料庫的HR資料表裡面， 我一開始想法是，用SQL SERVER去連AD主機，讀出AD帳號的資料表和HR資料表做JOIN 就可以知道哪些帳號是已經離職了，就可以UPDATE AD帳號的TABLE，改為停用。 不過有查過一些文章，好像是說，微軟讓SQL SERVER連到AD主機，好像只有READ-ONLY ，這就變得有點麻煩了...冏 ※ 編輯: bernachom (36.228.181.131), 09/12/2015 21:23:48
→
09/12 22:52, , 3F
寫程式從AD server去查SQL server資料找出離職帳號
09/12 22:52, 3F
推
09/12 22:52, , 4F
PowerShell？
09/12 22:52, 4F
→
09/12 22:53, , 5F
然後根據這些資料去把帳號停權如何?
09/12 22:53, 5F
推
09/12 23:04, , 6F
SQL將離職AD撈出存成.csv,再import給powershell直接停用
09/12 23:04, 6F
→
09/12 23:04, , 7F
這個方向會不會比較簡單一點?
09/12 23:04, 7F
→
09/13 07:09, , 8F
我用vbs去sql撈出資料然後跑command做需要的事
09/13 07:09, 8F
POWERSHELL沒有寫過，不過應該是可以嘗試的方向。 我再查查 相關的文章，有問題在問問，謝謝:) ※ 編輯: bernachom (36.228.181.131), 09/13/2015 07:13:04
→
09/13 07:16, , 9F
我做的東西規模比你大很多，要做整個組織架構按照部門階
09/13 07:16, 9F
→
09/13 07:17, , 10F
級建立巢狀群組，把員工帳號塞進去，然後還要為群組建出
09/13 07:17, 10F
→
09/13 07:17, , 11F
我做的東西規模比你大很多，要做整個組織架構按照部門階
09/13 07:17, 11F
→
09/13 07:17, , 12F
級建立巢狀群組，把員工帳號塞進去，然後還要為群組建立
09/13 07:17, 12F
→
09/13 07:17, , 13F
group mail外加組織最上階不同的人不能寄信到其他單位的
09/13 07:17, 13F
→
09/13 07:17, , 14F
group mail,除此之外判斷員工是否離職、部門名稱異動等
09/13 07:17, 14F
→
09/13 07:17, , 15F
等
09/13 07:17, 15F
→
09/13 07:19, , 16F
但我建議停用帳號這件事情最好是手動做，因為量可能比較
09/13 07:19, 16F
→
09/13 07:19, , 17F
大，你可以用程式跑報表出來告訴你哪些帳號是要停用的寄
09/13 07:19, 17F
→
09/13 07:19, , 18F
給人事確認
09/13 07:19, 18F
原本我就希望寄個報表，然後用手動的方式去停用.. 但是主管好像認為自動化比較好...這部份就照辦就好了..我也就不想去說了.. 不過想詢問前輩，您也是用POWERSHELL寫程式，抓出停用的帳號嗎? 謝謝您 ※ 編輯: bernachom (36.228.181.131), 09/13/2015 10:14:27
推
09/13 10:30, , 19F
停用為什麼要自動化? 每天超多人離職XD?
09/13 10:30, 19F
主管覺得，，，自動化就不用理他了，， ※ 編輯: bernachom (42.78.229.3), 09/13/2015 11:30:09
推
09/13 12:00, , 20F
流程怎麼跑? 紙本或電子收到還是要人去做不是嗎?
09/13 12:00, 20F
推
09/13 12:05, , 21F
寫console application 一邊撈SQL 一邊call powershell
09/13 12:05, 21F
推
09/13 12:11, , 22F
littlecut有講到重點，這真的需要嗎?XD
09/13 12:11, 22F
主管想要自動化，不理他嗎...冏 流程，應該是HR會把人事資料做離職， 然後我就每天去執行排程，看哪些人離職，然後把帳號停掉.. ，然後我心中還是個小小的問題，離職人員量大跟量小，和要不要自動停用 ，這個會有差別嗎?? 謝謝 ※ 編輯: bernachom (36.228.181.131), 09/13/2015 14:29:03 ※ 編輯: bernachom (36.228.181.131), 09/13/2015 14:54:34
→
09/13 15:02, , 23F
以前做過電銷人員的離職處理,系統會產出LIST,再用批次停
09/13 15:02, 23F
→
09/13 15:03, , 24F
用就可以了，可是那是量大的時候 一個禮拜2ˋ30個，LIST
09/13 15:03, 24F
→
09/13 15:03, , 25F
由電銷中心的HR負責產出，資訊部做事，最好還是由別人
09/13 15:03, 25F
→
09/13 15:04, , 26F
給你資料，照著資料做，不是自己出資料給人確認
09/13 15:04, 26F
您好: 批次停用也是系統自動執行囉? 其實理論上應該是要由HR給離職資料才是， 不過...主管說的，就不想爭了= = ※ 編輯: bernachom (36.228.181.131), 09/13/2015 15:34:24
→
09/13 17:19, , 27F
我有說我是用 CBS 讀 SQL 然後再下 command 啊 XD
09/13 17:19, 27F
→
09/13 17:20, , 28F
auto correct , vbs 不是 cbs
09/13 17:20, 28F
您好 您是說，用command連到ad主機?去做帳號的停用嗎? 還是您說的command是power shell 呢?@@ ※ 編輯: bernachom (61.231.24.152), 09/13/2015 17:58:27
推
09/13 18:08, , 29F
AD有批次功能指令，可以查一下
09/13 18:08, 29F
您好 我知道批次檔.BAT 您指的批次功能指令指的是? 因為我不知道要用什麼關建字去找...謝謝您了 ※ 編輯: bernachom (61.231.24.152), 09/13/2015 18:10:17
→
09/13 18:14, , 30F
http://tinyurl.com/nd3pfb 對AD完全不會 但看看吧
09/13 18:14, 30F
→
09/13 18:16, , 31F
好，先記下了，謝謝:)
09/13 18:16, 31F
→
09/13 21:06, , 32F
如果三個月只有一個人離職，你還要每天跑流程去檢查?
09/13 21:06, 32F
→
09/13 21:07, , 33F
不是主管的所有需求都要照辦啊，總要想想合理性跟風險
09/13 21:07, 33F
→
09/13 21:08, , 34F
他哪天要你把DC都關閉，你要照著做嗎?不合理嘛
09/13 21:08, 34F
→
09/13 21:09, , 35F
又，萬一你的程式或指令把在職的人員停用/刪除，這些責任
09/13 21:09, 35F
→
09/13 21:10, , 36F
你要扛嗎? 我覺得你遇到的問題要回到這個需求的起點才有
09/13 21:10, 36F
→
09/13 21:10, , 37F
答案。
09/13 21:10, 37F
→
09/13 21:50, , 38F
ad 管理的 command Google 一下就有了
09/13 21:50, 38F
推
09/13 21:52, , 39F
https://goo.gl/AffvfP 記得，technet 是你的好朋友
09/13 21:52, 39F
謝謝樓上前輩指導:) 唉~因為還是菜鳥，就只能先照辦了...菜鳥的難處...冏 不過前輩的經驗我都有記下來，希望有機會也能和主管討論一下 TECHNET記下來了，謝謝:) ※ 編輯: bernachom (36.228.181.131), 09/13/2015 22:03:31
推
09/14 02:01, , 40F
jeffwang0211.blogspot.tw/2014/01/ad.html?m=1。關鍵
09/14 02:01, 40F
→
09/14 02:01, , 41F
字 AD批次停用/修改，都能做到你要的，先決定離職人員
09/14 02:01, 41F
→
09/14 02:01, , 42F
清單，給HR確認，把清單餵給程式進，結案
09/14 02:01, 42F
推
09/14 11:35, , 43F
改一下上面流程，離職人員名單一定是HR給，不要攬在自己
09/14 11:35, 43F
→
09/14 11:36, , 44F
身上，誰都沒辦法保證不出事情，至少責任不是IT扛
09/14 11:36, 44F
推
09/14 11:51, , 45F
我是ＨＲ想搞你，就讓你自己把Admin,IT 帳號,老闆
09/14 11:51, 45F
→
09/14 11:51, , 46F
的帳號全自動關掉
09/14 11:51, 46F
→
09/14 15:36, , 47F
真的，一個自動想法很簡單，但是背後牽扯到很多別的東西
09/14 15:36, 47F
→
09/14 15:38, , 48F
像上面幾位提到出問題的責任歸屬，最好先想清楚再執行
09/14 15:38, 48F
家家有本難唸的經呀...冏 ※ 編輯: bernachom (114.25.211.76), 09/14/2015 21:30:30
推
09/15 09:04, , 49F
提出一個想法簡單 但挑戰固定架構又限制時間...
09/15 09:04, 49F
‣ 更多 bernachom 的文章
文章代碼(AID): #1Lz0qh2X (MIS)