推薦：用于管理 Active Directory 的 11 個(gè)基本工具2008-09-11 14:07:55
標(biāo)簽：
AD命令行工具 [
推送到技術(shù)圈]
此文出處：
[url]http://technet.microsoft.com/zh-cn/magazine/cc137799.aspx[/url]推薦理由：
自己曾經(jīng)也經(jīng)過(guò)無(wú)數(shù)次的摸索使用過(guò)以下介紹過(guò)的命令，走了很多彎路這是懂些皮毛，感嘆沒(méi)有一篇很好文章作介紹。現(xiàn)用得最多也的就是WS2K3自帶的五個(gè)命令行。
概覽:
在命令行創(chuàng)建對(duì)象 在 Active Directory 中執(zhí)行批量操作 Active Directory 更新和維護(hù)
如果您負(fù)責(zé)處理列有從下周開(kāi)始工作的 200 名新員工資料的 Excel 電子表格，或者由于技術(shù)支持人員點(diǎn)擊了某些不應(yīng)點(diǎn)擊的內(nèi)容而導(dǎo)致用戶帳戶配置錯(cuò)誤，
或者您只是需要除了打開(kāi)“用戶和計(jì)算機(jī)”之外的一種更加輕松的方法來(lái)管理 Active Directory®，則有大量免費(fèi)管理工具可以提供幫助。有些工具內(nèi)置于 Windows® 操作系統(tǒng)中，有些位于資源工具包或 Windows 支持工具中，而有些甚至是免費(fèi)的第三方工具。這些便捷工具都包括什么，可以從何處獲?。孔屛覀儊?lái)了解一下。
首先介紹 Windows Server® 2003 中的內(nèi)置命令行工具，這些工具允許您在 Active Directory 中創(chuàng)建、刪除、修改和查找對(duì)象。
CSVDE
逗號(hào)分隔值數(shù)據(jù)交換工具（即 CSVDE）允許您使用 CSV 源文件將新對(duì)象導(dǎo)入到 Active Directory 中；此外，該工具還提供了將現(xiàn)有對(duì)象導(dǎo)出到 CSV 文件的功能。CSVDE 不能用于修改現(xiàn)有對(duì)象；在導(dǎo)入模式下使用此工具時(shí)，您只能創(chuàng)建全新的對(duì)象。
使用 CSVDE 導(dǎo)出現(xiàn)有對(duì)象的列表相當(dāng)簡(jiǎn)單。將 Active Directory 對(duì)象導(dǎo)出到名為 ad.csv 的文件,方法如下：
csvde –f ad.csv
–f 開(kāi)關(guān)表示后面為輸出文件的名稱(chēng)。但是您必須注意，根據(jù)環(huán)境的不同，此基本語(yǔ)法可能會(huì)生成不實(shí)用的大型輸出文件。要將此工具限制為僅導(dǎo)出特定組織單位 (OU) 中的對(duì)象，可以將語(yǔ)句修改為如下形式：
csvde –f UsersOU.csv –d ou=Users,dc=contoso,dc=com
進(jìn)一步假定您只對(duì)將用戶對(duì)象導(dǎo)出到 CSV 文件感興趣。如果是那樣的話，您可以添加 –r 開(kāi)關(guān)和 –l 開(kāi)關(guān)，前者允許指定輕型目錄訪問(wèn)協(xié)議 (LDAP) 篩選器進(jìn)行搜索，后者可以限制導(dǎo)出的屬性的數(shù)量（請(qǐng)注意以下所有內(nèi)容位于一行）：
csvde –f UsersOnly.csv –d ou=Users,dc=contoso,dc=com –r "(&(objectcategory=person)(objectclass=user))" –l DN,objectClass,description
通過(guò) –i 開(kāi)關(guān)，您可以將對(duì)象從源 CSV 文件導(dǎo)入到 Active Directory。但是，使用 CSVDE 創(chuàng)建用戶對(duì)象存在一個(gè)關(guān)鍵限制：不能使用 CSVDE 設(shè)置用戶密碼。因此，應(yīng)該避免使用 CSVDE 創(chuàng)建用戶對(duì)象。
LDIFDE
Active Directory 還提供了另外一個(gè)用于執(zhí)行批量用戶操作的內(nèi)置工具，稱(chēng)為 LDIFDE，與 CSVDE 相比，此工具更強(qiáng)大，更靈活。除了可以創(chuàng)建新對(duì)象外，LDIFDE 還可以修改和刪除現(xiàn)有對(duì)象，甚至擴(kuò)展 Active Directory 架構(gòu)。LDIFDE 雖然具有靈活性，但為了實(shí)現(xiàn)這種靈活性卻必須要使用擴(kuò)展名為 .ldf 的 LDIF 文件作為輸出文件，這種文件與簡(jiǎn)單的 CSV 文件相比，格式更復(fù)雜。（只需少量操作就可以配置好用戶密碼，我稍后將對(duì)此進(jìn)行介紹。）
我們從一個(gè)簡(jiǎn)單的示例開(kāi)始，將某個(gè) OU 中的用戶導(dǎo)出到 LDF 文件中（請(qǐng)注意以下所有內(nèi)容位于一行）：
ldifde -f users.ldf -s DC1.contoso.com -d "ou=UsersOU,dc=contoso,dc=com" –r "(&(objectcategory=person)(objectclass=user))"
與大多數(shù)命令行工具一樣，您可以通過(guò)運(yùn)行 LDIFDE /? 命令找到 LDIFDE 開(kāi)關(guān)的完整說(shuō)明。圖 1 介紹了我在此使用過(guò)的開(kāi)關(guān)。（注意 CSVDE 和 LDIFDE 命令的開(kāi)關(guān)實(shí)際上是相同的。）
Figure 1 LDIFDE 開(kāi)關(guān)
LDIFDE 的真正功能在于創(chuàng)建和操作對(duì)象。然而，進(jìn)行此操作之前，您首先需要?jiǎng)?chuàng)建一個(gè)輸入文件。以下語(yǔ)句創(chuàng)建兩個(gè)名為 afuller 和 rking 的用戶帳戶；要?jiǎng)?chuàng)建該輸入文件，請(qǐng)?jiān)谟浭卤荆ɑ蛘吣矚g的純文本編輯器）中輸入以下文本，然后將其保存為 NewUsers.ldf：
dn: CN=afuller, OU=UsersOU, DC=contoso, DC=com changetype: add cn: afuller objectClass: user samAccountName: afuller dn: CN=rking, OU=UsersOU, DC=contoso, DC=com changetype: add cn: rking objectClass: user samAccountName: rking
創(chuàng)建完該文件后，請(qǐng)運(yùn)行以下命令：
ldifde –i –f NewUsers.ldf –s DC1.contoso.com
您可能會(huì)猜到，此處使用的唯一新開(kāi)關(guān) -i 表明這是一項(xiàng)導(dǎo)入操作而非導(dǎo)出操作。
如果要修改或刪除現(xiàn)有對(duì)象，不必更改 LDIFDE 命令的語(yǔ)法；相反，您應(yīng)該修改 LDF 文件中的內(nèi)容。要更改用戶帳戶的說(shuō)明字段，請(qǐng)創(chuàng)建名為 ModifyUsers.ldf 的文本文件，如圖 2 所示。
圖 2 ModifyUsers LDF 文件 (單擊該圖像獲得較大視圖)
您可以通過(guò)運(yùn)行與之前相同的 LDIFDE 命令語(yǔ)法，在 -f 開(kāi)關(guān)后面指定新的 LDF 文件名來(lái)導(dǎo)入更改。用于刪除對(duì)象的 LDF 格式更簡(jiǎn)單；要?jiǎng)h除一直使用的用戶，請(qǐng)創(chuàng)建一個(gè)名為 DeleteUsers.ldf 的文件，然后輸入以下內(nèi)容：
dn: CN=afuller OU=UsersOU, DC=contoso, DC=com changetype: delete dn: CN=rking, OU=UsersOU, DC=contoso, DC=com changetype: delete
注意，與 CSVDE 不同，LDIFDE 能夠配置用戶密碼。不過(guò)，在為用戶帳戶配置 unicodePWD 屬性之前，必須在域控制器上配置安全套接字層/傳輸層安全性 (SSL/TLS) 加密。
而且，LDIFDE 能夠創(chuàng)建和修改任何類(lèi)型的 Active Directory 對(duì)象，并不僅限于用戶帳戶。例如，下面的 LDF 文件可在 contoso.com 林的架構(gòu)中創(chuàng)建名為 EmployeeID-example 的自定義架構(gòu)擴(kuò)展：
dn: cn=EmployeeID-example,cn=Schema, cn=Configuration,dc=contoso,dc=com changetype: add adminDisplayName: EmployeeID-Example attributeID: 1.2.3.4.5.6.6.6.7 attributeSyntax: 2.5.5.6 cn: Employee-ID instanceType: 4 isSingleValued: True lDAPDisplayName: employeeID-example
由于 LDIFDE 文件使用工業(yè)標(biāo)準(zhǔn) LDAP 文件格式，因此需要修改 Active Directory 架構(gòu)的第三方應(yīng)用程序會(huì)經(jīng)常提供 LDF 文件，您可以在將這些更改應(yīng)用于生產(chǎn)環(huán)境之前使用這些文件檢查和批準(zhǔn)更改。
除了用于執(zhí)行批量導(dǎo)入和導(dǎo)出操作的工具外，Windows Server 2003 還包括一個(gè)內(nèi)置工具集，您可以使用它來(lái)創(chuàng)建、刪除和修改各種 Active Directory 對(duì)象，還可以對(duì)符合特定條件的對(duì)象執(zhí)行查詢(xún)。（請(qǐng)注意 Windows 2000 Active Directory 并不支持這些工具，如 dsadd、dsrm、dsget 和 dsquery 等。）
dsadd
Dsadd 用于在特定的目錄分區(qū)上創(chuàng)建 Active Directory 對(duì)象類(lèi)的實(shí)例。這些類(lèi)包括用戶、計(jì)算機(jī)、聯(lián)系人、組、組織單位和配額。Dsadd 具備一個(gè)由下列內(nèi)容組成的通用語(yǔ)法：
dsadd <ObjectType> <ObjectDistinguishedName> attributes
請(qǐng)注意，您創(chuàng)建的每個(gè)對(duì)象類(lèi)型都有一組特定的開(kāi)關(guān)，它們與該類(lèi)型的屬性相對(duì)應(yīng)。以下命令創(chuàng)建一個(gè)填充了各種屬性的用戶對(duì)象（請(qǐng)注意以下所有內(nèi)容位于一行）：
dsadd user cn=afuller,ou=IT,dc=contoso,dc=com –samID afuller –fn Andrew –ln Fuller –pwd * -memberOf cn=IT,ou=Groups,dc=contoso,dc=com "cn=Help Desk,ou=Groups, dc=contoso,dc=com" –desc "Marketing Director"
–memberOf 開(kāi)關(guān)要求指定應(yīng)添加該用戶的每個(gè)組的完整可分辨名稱(chēng) (DN)；如果要將用戶添加到多個(gè)組，您可以添加多個(gè) DN 并用空格分隔開(kāi)。
任何元素如果包含空格（如 Help Desk 組的 DN），則該元素應(yīng)該括在雙引號(hào)中。如果某個(gè)元素含有反斜杠（如稱(chēng)為 IT\EMEA 的 OU），則必須輸入兩次反斜杠：IT\\EMEA。（這些要求適用于所有的 ds* 工具。）
如果使用 -pwd * 開(kāi)關(guān)，則系統(tǒng)將提示您在命令行輸入用戶密碼。您可以在該命令中指定密碼 (-pwd P@ssword1)，但是這樣會(huì)在屏幕上或該命令嵌入到的任何文本或腳本文件中以純文本形式顯示該密碼。
同樣，您可以使用下列兩個(gè)命令創(chuàng)建組對(duì)象和 OU：
dsadd computer cn=WKS1,ou=Workstations,dc=contoso,dc=com dsadd ou "ou=Training OU,dc=contoso,dc=com"
Dsmod
Dsmod 用于修改現(xiàn)有對(duì)象，它的使用方法與 dsadd 非常相似，您需要根據(jù)要修改的對(duì)象的類(lèi)型使用不同的子菜單和語(yǔ)法。以下 dsmod 語(yǔ)句會(huì)更改用戶的密碼并修改該用戶的帳戶，因此在下次登錄時(shí)系統(tǒng)會(huì)提示該用戶更改為新的密碼：
dsmod user "cn=afuller,ou=IT,dc=contoso,dc=com" –pwd P@ssw0rd1 –mustchpwd yes
要了解這些開(kāi)關(guān)多么相似，您可以查看要用于創(chuàng)建此用戶并配置了相同屬性的 dsadd 語(yǔ)法：
dsadd user "cn=afuller,ou=IT,dc=contoso,dc=com" –pwd P@ssw0rd1 –mustchpwd yes
您可以清晰地看到，如果知道 dsadd 中用于創(chuàng)建對(duì)象的開(kāi)關(guān)，則可以使用那些相同的開(kāi)關(guān)修改 dsmod 用戶。
dsrm
dsrm 與 dsadd 是相逆的；正如您可能想到的，使用此工具可從命令行中刪除對(duì)象。基本的 dsrm 語(yǔ)法相當(dāng)簡(jiǎn)明：只需輸入 dsrm 后輸入要?jiǎng)h除對(duì)象的可分辨名稱(chēng)即可，如下所示：
dsrm cn=WKS1,ou=Workstations,dc=contoso,dc=com
默認(rèn)情況下，dsrm 會(huì)提示“確實(shí)要?jiǎng)h除此對(duì)象嗎?”，此時(shí)鍵入 Y，然后按 Enter。您可以使用 –noprompt 開(kāi)關(guān)禁止顯示此提示，但很明顯，這樣做無(wú)法在刪除對(duì)象之前確認(rèn)所選對(duì)象是否正確。如果要?jiǎng)h除容器對(duì)象（即，在其內(nèi)部可能包含其他對(duì)象的組織單位），另外兩個(gè)開(kāi)關(guān)可能會(huì)很有用。以下命令將刪除 TrainingOU 組織單位及其內(nèi)部包含的所有對(duì)象：
dsrm ou=TrainingOU,dc=contoso,dc=com –subtree
以下命令將刪除包含在 TrainingOU 中的所有子對(duì)象，但保留組織單位對(duì)象本身：
dsrm ou=TrainingOU,dc=contoso,dc=com –subtree –exclude
dsmove
要移動(dòng)或重命名 Active Directory 中的對(duì)象，請(qǐng)使用 dsmove 工具，但請(qǐng)注意您只應(yīng)使用該工具在單一域中移動(dòng)對(duì)象。要在域和林之間遷移對(duì)象，請(qǐng)使用 Active Directory 遷移工具 (ADMT)，可從 Microsoft 網(wǎng)站免費(fèi)下載。Dsmove 依賴(lài)于兩個(gè)開(kāi)關(guān)，它們可以單獨(dú)使用，也可以結(jié)合在一起使用。以下命令將為 Steve Conn 的帳戶指定新姓氏：
dsmove "cn=Conn, Steve,ou=IT,dc=contoso,dc=com" –newname "Steve Conn"
以下命令將 Steve 的帳戶從 IT OU 移動(dòng)到 Training OU：
dsmove "cn=Conn, Steve,ou=IT,dc=contoso,dc=com" –newparent ou=Training,dc=contoso,dc=com
您可以通過(guò)同時(shí)指定這兩個(gè)開(kāi)關(guān)，將重命名和移動(dòng)合并為一個(gè)操作，如下所示：
dsmove "cn=Conn, Steve,ou=IT,dc=contoso,dc=com" –newname "Steve Conn" –newparent ou=Training,dc=contoso,dc=com
Dsget 和 Dsquery
ds* 命令行工具集還包括兩個(gè)用于查詢(xún) Active Directory 獲取信息而非用于創(chuàng)建或修改對(duì)象的工具。
Dsget 將對(duì)象的 DN 作為輸入并為您提供您指定的一個(gè)或多個(gè)屬性的值。Dsget 使用與 dsadd 和 dsmod 相同的子菜單 — user、computer、contact、group、ou 和 quota。
要獲得用戶帳戶的 SAM 帳戶名和安全標(biāo)識(shí)符 (SID)，請(qǐng)鍵入以下命令（請(qǐng)注意以下所有內(nèi)容位于一行）：
dsget user cn=afuller,ou=IT,dc=contoso,dc=com –samAccountName –sid
您將會(huì)得到如圖 3 所示的輸出。
圖 3 運(yùn)行 dsget (單擊該圖像獲得較大視圖)
Dsquery 將返回一個(gè)符合您指定條件的 Active Directory 對(duì)象的列表。無(wú)論您使用的是哪個(gè)子菜單，都可以指定以下參數(shù)：
dsquery <ObjectType> <StartNode> -s <Search Scope> -o <OutputFormat>
對(duì)于 ObjectType，dsquery 可以使用以下子菜單，每個(gè)子菜單都具有自己的語(yǔ)法：computer、contact、subnet、group、ou、site、server（請(qǐng)注意，服務(wù)器子菜單檢索有關(guān)域控制器的信息，而不是環(huán)境中的任一成員服務(wù)器）、user、quota 和 partition。如果其中一個(gè)查詢(xún)類(lèi)型不符合需要，您可以使用 * 子菜單，這樣您可以輸入任意格式的 LDAP 查詢(xún)。
StartNode 指定搜索在 Active Directory 樹(shù)中的開(kāi)始位置。您可以使用特定的 DN，如 ou=IT、dc=contoso、dc=com 或下列其中一個(gè)快捷說(shuō)明符：domainroot，從特定域的根目錄開(kāi)始；forestroot，從使用全局編錄服務(wù)器執(zhí)行搜索的林根域的根目錄開(kāi)始。
最后，“搜索范圍”選項(xiàng)指定 dsquery 搜索 Active Directory 樹(shù)的方式。Subtree（默認(rèn)方式）查詢(xún)指定的 StartNode 及其所有子對(duì)象；onelevel 僅查詢(xún) StartNode 的直接子項(xiàng)；base 僅查詢(xún) StartNode 對(duì)象。
為了更好地理解搜索范圍，假定有一個(gè) OU，其中包含用戶對(duì)象和一個(gè)子 OU，該子 OU 自身又包含其他對(duì)象。使用 subtree 范圍將查詢(xún)?cè)?OU、包含在該 OU 內(nèi)的所有用戶對(duì)象和子 OU 及其內(nèi)容。onelevel 范圍僅查詢(xún)包含在 OU 中的用戶而不查詢(xún)子 OU 及其內(nèi)容。base 查詢(xún)僅搜索 OU 本身而不查詢(xún)其中包含的任何對(duì)象。
最后，您可以使用 Output Format 控制如何設(shè)置 dsquery 的結(jié)果的格式。默認(rèn)情況下，dsquery 將返回與查詢(xún)相匹配的所有對(duì)象的可分辨名稱(chēng)，如下所示：
"cn=afuller,ou=Training,dc=contoso,dc=com" "cn=rking,ou=ITTraining,ou=Training,dc=contoso,dc=com"
要查詢(xún) IT OU 和任意子 OU 中包含的所有用戶對(duì)象，請(qǐng)使用以下命令：
dsquery user ou=IT,dc=contoso,dc=com
您可以通過(guò)添加其他開(kāi)關(guān)進(jìn)一步細(xì)化此查詢(xún)，如 -disabled（僅返回已禁用的用戶帳戶）、-inactive x（僅返回在過(guò)去 x 周或更久未登錄的用戶）或 -stalepwd x（僅返回在 x 天內(nèi)或更久未更改其密碼的用戶）。
依據(jù)目錄中對(duì)象的數(shù)目，在運(yùn)行查詢(xún)時(shí)您可能需要指定 -limit x 開(kāi)關(guān)。默認(rèn)情況下，dsquery 將會(huì)返回多達(dá) 100 個(gè)與查詢(xún)細(xì)節(jié)相匹配的對(duì)象。您可以指定更大的數(shù)目（如 -limit 500），或使用 -limit 0 指示 dsquery 返回所有匹配對(duì)象。
也可以使用其他子菜單執(zhí)行對(duì)其他對(duì)象類(lèi)型的有用查詢(xún)?？紤]以下查詢(xún)，此查詢(xún)將返回在 Active Directory 站點(diǎn)和服務(wù)中定義的位于 10.1.x.x 地址空間中的每個(gè)子網(wǎng)：
dsquery subnet –name 10.1.*
或使用以下命令返回位于 Corp 站點(diǎn)中的每個(gè)子網(wǎng)：
dsquery subnet –site Corp
使用另一個(gè)子菜單，您可以很快確定林中配置為全局編錄服務(wù)器的域控制器的數(shù)量：
dsquery server –forest –isgc
您還可以使用此語(yǔ)法幫助確定域中哪個(gè)域控制器承載主域控制器 (PDC) 模擬器靈活單主機(jī)操作 (FSMO) 角色：
dsquery server –hasfsmo pdc
與其他包含子菜單的 ds* 命令一樣，您可以轉(zhuǎn)到命令提示符并鍵入 dsquery user /?、dsquery computer /?、dsquery subnet /? 等查看特定 dsquery 子菜單中可用的所有開(kāi)關(guān)。
另一個(gè)靈活的技巧是使用管道字符（在美式鍵盤(pán)上按下 shift 的同時(shí)按反斜杠即可）將 dsquery 的輸出通過(guò)管道傳送到其他工具（如 dsmod）中。例如，假設(shè)您的公司已將 Training 部門(mén)重命名為 Internal Development，現(xiàn)在您必須將每位相關(guān)用戶的說(shuō)明字段從舊部門(mén)名稱(chēng)更改為新名稱(chēng)。在單一命令行上，您可以查詢(xún)具有 Training 的說(shuō)明字段的用戶對(duì)象，然后批量修改該說(shuō)明字段，如下所示：
dsquery user –description "Training" | dsmod -description "Internal Development"
一些第三方產(chǎn)品
由于 Active Directory 基于 LDAP 標(biāo)準(zhǔn)，您可以使用任何支持 LDAP 的工具對(duì)其進(jìn)行查詢(xún)和修改。許多第三方供應(yīng)商已發(fā)布了收費(fèi)的工具，幫助您管理 Active Directory，但有時(shí)您會(huì)發(fā)現(xiàn)為社區(qū)免費(fèi)提供的極具價(jià)值的工具。目錄服務(wù) MVP Joe Richards 創(chuàng)建的集合就是這種情況，可以從
joeware.net/freetools 下載。在那里您將會(huì)發(fā)現(xiàn)大量具有不同功能的工具。我反復(fù)使用的有 adfind、admod 和 oldcmp 這三種工具。
Adfind 和 Admod
Adfind 和 admod 類(lèi)似于 dsquery 和 dsmod；adfind 是 Active Directory 的命令行查詢(xún)工具，admod 能夠創(chuàng)建、刪除或修改一個(gè)或多個(gè) Active Directory 對(duì)象。
與具有多個(gè)子菜單并且開(kāi)關(guān)依據(jù)對(duì)象類(lèi)型而異的 ds* 工具不同，adfind 和 admod 具有一致的語(yǔ)法，與要嘗試執(zhí)行的查詢(xún)或修改類(lèi)型無(wú)關(guān)。adfind 的基本語(yǔ)法為：
adfind –b <Search Base> -s <Search Scope> -f <Search Filter> attributesDesired
所以對(duì)域中所有計(jì)算機(jī)對(duì)象的 DN 和說(shuō)明的查詢(xún)應(yīng)為：
adfind –b dc=contoso,dc=com –s subtree –f (objectclass=computer) dn description
對(duì)所有用戶對(duì)象的查詢(xún)?nèi)缦滤荆?div style="height:15px;">
adfind –b dc=contoso,dc=com –s subtree –f "(&(objectcategory=person) (objectclass=user))" dn description
使用 adfind 時(shí)，您將發(fā)現(xiàn)許多快捷操作符，可以減少許多鍵入內(nèi)容。例如，-default 開(kāi)關(guān)可以取代上一示例中的 -b dc=contoso,dc=com 并搜索整個(gè)域；-gc 搜索垃圾收集 (GC) 并返回 Active Directory 林中所有的用戶。還可以使用 -rb 開(kāi)關(guān)設(shè)置相對(duì)搜索庫(kù)；如果要在 phl.east.us.contoso.com 域中搜索 Training OU，您可以通過(guò)僅僅指定 –default –rb ou=Training，而非 –b ou=Training, dc=phl,dc=east,dc=us,dc=contoso,dc=com，從而減少許多工作量。
顧名思義，admod 用于修改 Active Directory 中的對(duì)象。與 adfind 一樣，不需要記住有特殊語(yǔ)法的特定子菜單；admod 在任何時(shí)候都使用相同的語(yǔ)法，與要處理的對(duì)象類(lèi)型無(wú)關(guān)。還可以使用 admod 添加、移動(dòng)、重命名、刪除甚至恢復(fù)對(duì)象，只需通過(guò)添加相應(yīng)的開(kāi)關(guān)（如 -add、-rm、-move、-undel）即可實(shí)現(xiàn)。就像 dsquery 和 dsmod 一樣，您也可以使用 | 字符將 adfind 查詢(xún)的結(jié)果通過(guò)管道傳送到 admod。
請(qǐng)注意，使用 admod 執(zhí)行恢復(fù)操作只能執(zhí)行邏輯刪除恢復(fù)操作，在此操作中大部分對(duì)象屬性已被刪除。要完全還原某個(gè)對(duì)象及其所有屬性，您仍需要執(zhí)行該對(duì)象的授權(quán)還原。
還有一個(gè) joeware 工具，我認(rèn)為它是自動(dòng)工具包中必不可少的一部分：oldcmp，該工具會(huì)掃描 Active Directory 數(shù)據(jù)庫(kù)，查找在指定周數(shù)內(nèi)未使用的計(jì)算機(jī)帳戶，而且可以執(zhí)行以下操作：
創(chuàng)建帳戶報(bào)表而不對(duì)其進(jìn)行任何操作 禁用未使用的計(jì)算機(jī)帳戶 將計(jì)算機(jī)帳戶移動(dòng)到另一個(gè)指定的 OU 中 完全刪除計(jì)算機(jī)帳戶
請(qǐng)注意，由于 oldcmp 可能會(huì)嚴(yán)重?fù)p壞您的目錄，因此它有許多內(nèi)置的安全功能。它不會(huì)刪除尚未禁用的任何帳戶（無(wú)需手動(dòng)指定“No really, I mean it!”命令行開(kāi)關(guān)）。無(wú)需指定類(lèi)似的“No really, I mean it!”開(kāi)關(guān)，每次修改對(duì)象不會(huì)超過(guò) 10 個(gè)，而且絕對(duì)不會(huì)對(duì)域控制器的計(jì)算機(jī)帳戶執(zhí)行任何操作。
現(xiàn)在，盡管工具的名稱(chēng)易于誤導(dǎo)，但是 Joe 已更新了 oldcmp，以便對(duì)在特定時(shí)間內(nèi)未使用的用戶帳戶也能執(zhí)行相似的功能。
對(duì)于一個(gè)小型 Active Directory 環(huán)境或每次只執(zhí)行一兩個(gè)添加或更改操作的環(huán)境，GUI 工具（如 Active Directory 用戶和計(jì)算機(jī)）可能足以滿足日常管理需要。但是，如果您每天都要添加和修改大量對(duì)象，或者只是需要更加簡(jiǎn)化地管理任務(wù)解決方案，則改用命令行可以大大加快在 Active Directory 中創(chuàng)建、修改和刪除對(duì)象的過(guò)程。您已經(jīng)了解到，有許多靈活且功能強(qiáng)大的工具可以免費(fèi)獲得，它們或者內(nèi)置于 Windows 中，或者可從 Active Directory 社區(qū)成員中下載。這些工具中的任何一個(gè)都能夠大大提高 Active Directory 管理員的工作效率，與此同時(shí)，它們?cè)谀娜粘９ぷ髦凶兊酶颖匾?
