Tool um 2 AD User zu vergleichen

[Guenny0815]

Hallo Zusammen,

ich bin auf der Suche nach einem Tool um die Berechtigungen 2er AD User zu vergleichen.

Wir sitzen hier in einem großen Kundensystem und haben Probleme das Leute in gleichen Positionen unterschiedliche Rechte haben.

Um uns die Arbeit etwas zu erleichtern wäre ein entsprechenden Tool klasse.

Danke im Vorraus.

[Tiro]

Geht doch über "das schwarze Auge" (= dsa.msc = Active Directory Users and Computers). Da suchst Du Dir die Benutzer und schaust unter deren Eigenschaften nach "Mitglied von" und vergleichst einfach.

Klingt als bräuchtet ihr mal eine saubere Gruppenstruktur?

[robotto7831a]

Ich vermute mal, dass auf den Servern die Benutzer und nicht die Gruppen berechtigt sind und deshalb das große Problem.

Frank

[Tiro]

dass auf den Servern die Benutzer und nicht die Gruppen berechtigt sind

1) = übel ;-)

2) deshalb meine Frage. Ist zwar eine Heidenarbeit, aber auf lange Sicht lohnend.

[robotto7831a]

Richtig.

Frank

[afo]

Das Stichwort hierzu ist AGDLP.

[Tiro]

AGDLP.

Um Haare zu spalten: AGUDLP. Und das ist die offizielle Herangehensweise.

Allerdings ist die Praxis doch einfach AGP, wenn man eine Domäne und eine Gesamtstruktur (Forest) hat.

Ich bin viele Jahre sogar in einer Multidomänen-Umgebung ohne DL-Gruppen ausgekommen, bis wir temporäre Benutzer aus anderen Domänen hatten und der Enterprise-Admin nicht mit dem ADMT "spielen" wollte. *bg*

Man sollte sich nicht mehr Arbeit machen, als nötig.

[robotto7831a]

Vielleicht lassen wir Guenny0815 erst einmal zu Wort kommen.

Frank

[Guenny0815]

Hallo Zusammen,

danke für eure Beiträge. Die vorh. Domänenstruktur des Kunden auf den genannten Prinzipien. Leider gibt es interessanter Weise mehr Gruppen als User :-(

Dies kann ich auch nicht ändern und ich werde es auch nicht, da ich Dienstleister bin.

Nur muss ich wissen welche Gruppen bei Kollegen verschieden sind um diese entsprechend beantragen zu können.

Den Kunde kann ich nicht fragen, denn er sagt:" Ihr müsst wissen was ihr braucht" doch kann (oder will) er mir dazu nichts weiter sagen.

Wenn ihr also ein Tool kennt mit dem man 2 AD User schnell vergleichen kann wäre ich sehr dankbar.

Grüße

[afo]

Es gibt für das AD Kommandozeilentools (dsquery) und zusätzlich inzwischen Powershell-Befehle. Damit kann man für eine für alle in einer Liste angegebenen User alle gewünschten Daten ziehen, die direkt mit dem User verknüpft sind.

Diese können in definiertem Format ausgegeben werden.

Das dürfte dir vielleicht schon weiterhelfen.

Diese Daten kannst du dann von Hand vergleichen oder wieder ein Script schreiben. Vielleicht reicht auch schon ein Tool wie Diff aus.

(Ist jetzt alles sehr theoretisch und allgemein, zeigt dir aber vielleicht einen Weg.)