Cách nhận thông báo về các thay đổi đối với các nhóm Active Directory quan trọng

Là quản trị viên Active Directory, bạn có thể quen thuộc với các nhóm quan trọng như Quản trị viên miền, Quản trị viên lược đồ và Quản trị viên doanh nghiệp. Khi một tài khoản là thành viên của một hoặc nhiều nhóm này, tài khoản đó có quyền lực lớn trong môi trường AD của bạn. Đúng như câu nói xưa “Quyền lực lớn đi kèm trách nhiệm lớn”, các thành viên của các nhóm này phải được tin cậy. Bạn sẽ có một ngày tồi tệ bất cứ khi nào một kẻ đột nhập hoặc một nhân viên bất mãn trở thành thành viên của một nhóm quan trọng như thế này. Bạn cần phải giám sát các nhóm quan trọng như một con diều hâu. Nhưng bằng cách nào? Tôi rất vui vì bạn đã hỏi.

Một cách để giám sát các nhóm Active Directory quan trọng là thông qua tác vụ được lên lịch và tập lệnh Windows PowerShell. Bằng cách sử dụng mô-đun Active Directory trong gói Công cụ quản trị máy chủ từ xa (RSAT), bạn có thể truy vấn từ xa các thành viên của bất kỳ nhóm AD nào. Kết hợp khả năng đó với việc chạy theo lịch trình định kỳ thông qua một tác vụ đã lên lịch, bạn đã có cho mình một giải pháp kiểm tra homebrew tuyệt vời.

Để thực hiện việc này sẽ yêu cầu tập lệnh chạy các truy vấn thành viên nhóm cũng như tạo chính tác vụ đã lên lịch mà tôi cũng sẽ tạo thông qua tập lệnh. Bắt đầu nào.

Trước khi có thể được thông báo về những thay đổi, trước tiên chúng ta chỉ cần truy vấn tư cách thành viên nhóm. Việc này rất dễ dàng với lệnh ghép ngắn PowerShell Get-AdGroupMember. Khi sử dụng lệnh ghép ngắn này, bạn có thể chỉ cần sử dụng tham số Identity và chỉ định tên nhóm và nó sẽ ngay lập tức trả về tất cả các thành viên bên trong nhóm đó.

Bạn có thể thấy trong ví dụ của tôi, tôi có một nhóm tên là TestGroup và hai thành viên bên trong; Khách và Quản trị viên. Bây giờ tôi sẽ xóa tài khoản Khách để thử nghiệm và chạy lại.

Thành viên duy nhất trong nhóm đó hiện là Quản trị viên. Tuyệt vời! Bây giờ chúng tôi đã thử nghiệm kịch bản loại bỏ một thành viên. Bây giờ, hãy kiểm tra xem liệu tôi có thể nhận được sự thay đổi về tư cách thành viên nếu tôi thêm thành viên hay không.

Thành công! Bây giờ tôi đã xác nhận rằng tôi có thể phát hiện xem một tài khoản đã được thêm hay bị xóa khỏi nhóm AD. Tất cả đều ổn nhưng tôi sẽ không tự mình chạy đi chạy lại suốt cả ngày chỉ để xem có điều gì thay đổi không. Tự động hóa tiết kiệm trong ngày!

Bây giờ, hãy thêm lại một thành viên nhóm và lần này, thay vì chỉ xem xét sự khác biệt, hãy thêm một số mã vào đó để PowerShell phát hiện sự khác biệt. Trong ví dụ này, tôi đã thêm lại tài khoản Khách vào TestGroup nhưng lần này đã nắm bắt được trạng thái của nhóm trước và sau khi thay đổi các biến. Bằng cách đó, giờ đây tôi có thể thực hiện một so sánh đơn giản và có thể dễ dàng thấy rằng tài khoản Khách đã được thêm vào.

Chiến thuật tương tự cũng có thể được sử dụng cho bất kỳ thành viên nào bị loại bỏ.

Chúng tôi đã tạo mã để tập hợp tư cách thành viên nhóm ở hai trạng thái khác nhau và giờ đây cũng có thể so sánh cả hai trạng thái này để biết những thay đổi về tư cách thành viên nhóm. Tiếp theo là gì?

Bước tiếp theo là cuộn mã này thành một tập lệnh để có thể đưa mã này lên cấp độ tiếp theo. Tôi đã tạo một tập lệnh mẫu để minh họa khái niệm này. Kịch bản lấy khái niệm này và chạy theo nó. Kịch bản chỉ là một ví dụ về những gì có thể thực hiện được với mã này. Nó không chỉ phát hiện thay đổi mà còn có thể làm như vậy cho nhiều nhóm, ghi tệp nhật ký với thông tin trạng thái và cũng lưu tệp CSV có tư cách thành viên nhóm vào đĩa để lưu trong quá trình khởi động lại.

Cuối cùng, có một trang ngắn về cách phát hiện ai đã thêm người dùng vào nhóm quản trị viên miền. Điều này một lần nữa đưa khái niệm này lên một cấp độ hoàn toàn khác vì tập lệnh tôi cung cấp ở đây chỉ phát hiện ra sự thay đổi chứ không phải ai thực sự đã thực hiện nó. Netwrix Auditor đã tích hợp sẵn tất cả khả năng này như những gì chúng ta đã thảo luận hôm nay. Không cần phải loay hoay với các tập lệnh trừ khi bạn thực sự muốn. Với việc kiểm tra sản phẩm phần mềm Netwrix Auditor của họ khi người dùng được thêm hoặc xóa khỏi nhóm AD là chuyện nhỏ. Tôi khuyên bạn nên kiểm tra xem bạn có thích tính năng này và các khả năng kiểm tra nâng cao hơn nhiều không.