【正文】
在AD域的管理中，OU通常是企業(yè)內(nèi)部門成員的容器，組是用于企業(yè)內(nèi)的授權(quán)，這兩個(gè)不同類別的概念卻往往因?yàn)橄嗤某蓡T而成為許多IT管理員的苦惱，譬如一個(gè)新同事的入職，他的AD賬號(hào)往往由人事的同事創(chuàng)建并添加到相應(yīng)OU，而將其添加到對(duì)應(yīng)的權(quán)限組，則成為了IT管理員一件十分繁瑣的事情，下面我們將逐步演示如何利用VBS腳本來(lái)省去IT管理員的這項(xiàng)工作。
一、添加用戶到組
作為OU與組成員同步的第一步，我們需要知道怎樣將一個(gè)OU用戶添加到組。TechNet腳本中心提供了將一個(gè)用戶添加到組的腳本，請(qǐng)參考http://technet.microsoft.com/library/ Dd633265，Technet上提供了很多腳本的基本格式，可以成為我們進(jìn)行腳本編寫的基礎(chǔ)。
二、獲取OU的成員
我們可以把將OU用戶同步到組理解成將多個(gè)用戶添加到組的操作，因而操作的第一步就是獲取一個(gè)OU內(nèi)的所有用戶，而csvde工具則可以很好的實(shí)現(xiàn)這個(gè)功能。
三、讀取導(dǎo)出文件中的用戶屬性，并添加到組
我們可以利用VBS腳本的文件操作系統(tǒng)來(lái)讀取使用csvde工具導(dǎo)出的用戶信息，再使用
split函數(shù)分行讀取文本文檔，再將其作為User加入到Group。
四、循環(huán)添加用戶
完成用戶名的讀取之后需要做的便是將其賦值給步驟一中的用戶，然后循環(huán)加入到組,此時(shí)運(yùn)行中我們會(huì)發(fā)現(xiàn)另外一個(gè)問(wèn)題，當(dāng)一個(gè)用戶已經(jīng)存在與組中之后，再執(zhí)行加入操作時(shí)，腳本會(huì)報(bào)錯(cuò)從而終止腳本的運(yùn)行，因此在腳本最前端必須加上”O(jiān)n Error resume Next”參數(shù)讓腳本出錯(cuò)后繼續(xù)運(yùn)行，從而完成將所有用戶添加到組的操作。（腳本詳細(xì)內(nèi)容參考下文）
五、檢查組用戶是否在OU中
當(dāng)我們將一個(gè)用戶從一個(gè)OU移動(dòng)到另外一個(gè)OU之后，為避免權(quán)限混亂，不僅需要添加用戶到新的OU對(duì)應(yīng)的組，還需要將其從舊OU對(duì)應(yīng)的組中刪除，針對(duì)該需求，我們可以考慮逐個(gè)列出組內(nèi)的用戶，再檢查其是否存在于前文導(dǎo)出的User.txt文檔中，若存在，則組與OU的歸屬關(guān)系正常，若不在，則需考慮將其從組中移除。
六、腳本優(yōu)化
1. 腳本完整功能的實(shí)現(xiàn)是通過(guò)將OU用戶導(dǎo)出、將OU用戶添加到組、檢查組內(nèi)用戶是否合規(guī)以及刪除csvde函數(shù)生成的user.txt文檔（避免為后面腳本的執(zhí)行產(chǎn)生干擾）來(lái)執(zhí)行的，為方便調(diào)用可將每個(gè)功能寫成Function函數(shù)，具體Fuction請(qǐng)參考下文貼出的腳本；
a) CSVDE—用于導(dǎo)出OU用戶
b) OUTG—OU的同步，用于將OU內(nèi)的所有用戶添加到組
c) GTUser—組用戶的同步，用于檢查組內(nèi)用戶是否全部在OU內(nèi)
d) Dele—?jiǎng)h除csvde函數(shù)生成的user.txt,避免對(duì)其他組的成員產(chǎn)生影響。
2. 企業(yè)的實(shí)際生產(chǎn)環(huán)境中往往需要實(shí)現(xiàn)的所有用戶OU和用戶組的對(duì)應(yīng)，這樣方便進(jìn)行企業(yè)內(nèi)訪問(wèn)的授權(quán)，為此我們可以將需要進(jìn)行同步的OU和Group添加到對(duì)應(yīng)數(shù)組，然后對(duì)每個(gè)成員調(diào)用函數(shù)來(lái)實(shí)現(xiàn)功能。
七、腳本的使用
1. 腳本的功能
a) 腳本的完整功能為實(shí)現(xiàn)OU與組的完整同步，此時(shí)在功能組合下需依次將四個(gè)函數(shù)寫全（函數(shù)順序不可換）；
b) 腳本可選擇性只執(zhí)行將OU用戶添加到組，這樣對(duì)用戶而言，只是將用戶的權(quán)限擴(kuò)大，出現(xiàn)誤操作時(shí)對(duì)用戶影響較小，此時(shí)在功能組合下需選擇函數(shù)CSVDE、OUTG和DELE；
c) 腳本可選擇性只執(zhí)行移除不屬于特定OU的組成員，該選項(xiàng)可適用于比較敏感的授權(quán)組，此時(shí)在功能組合下需選擇函數(shù)CSVDE、GTUSER和DELE。
2. 腳本更改：
a) 更改數(shù)組OU和Group的成員數(shù)；
b) 依次輸入對(duì)應(yīng)的OU和Group的可分辨名稱；
c) 根據(jù)需要實(shí)現(xiàn)的功能，選擇執(zhí)行的函數(shù)。
3. 腳本部署
a) 手動(dòng)執(zhí)行，可立即更新組內(nèi)成員；
b) 使用windows server的任務(wù)計(jì)劃程序，為該腳本創(chuàng)建一個(gè)任務(wù)計(jì)劃定時(shí)執(zhí)行，這樣當(dāng)一個(gè)新用戶入職后至需要在其所屬的OU內(nèi)為其創(chuàng)建AD賬號(hào)（一般通過(guò)企業(yè)內(nèi)HR系統(tǒng)同步）這樣在第二天設(shè)定的計(jì)劃時(shí)間腳本運(yùn)行之后，用戶就能自動(dòng)獲得其所屬部門的一般權(quán)限而完全不需要管理員的操作，當(dāng)然當(dāng)用戶從一個(gè)部門調(diào)動(dòng)到另外一個(gè)部門之后（OU調(diào)整），用戶的權(quán)限變更也能自動(dòng)實(shí)現(xiàn)。調(diào)動(dòng)所產(chǎn)生的授權(quán)工
聯(lián)系客服
