PowerShell Active Directoryモジュールをインストールして使用する方法は？

WindowsPowerShell用のActiveDirectoryモジュールには、ADと対話するためのコマンドレットがたくさんあります。新しいRSATバージョンには、以前のバージョンよりも多くのコマンドレットが含まれています。 Windows Server 2016には、ActiveDirectory用の147のPowerShellコマンドレットがあります。

Active Directoryモジュールのコマンドレットを使用する前に、PowerShellセッションにインポートする必要があります（Windows Server 2012 R2 / Windows 8.1以降では、モジュールは自動的にインポートされます）。

Import-Module ActiveDirectory

$psSess = New-PSSession -ComputerName DC_or_Comp_with_ADPoSh_installed
Import-Module -PSsession $psSess -Name ActiveDirectory

次のコマンドを使用して、使用可能なActiveDirectoryコマンドレットの完全なリストを表示できます。

Get-Command –module ActiveDirectory

ADモジュール内のコマンドレットの総数：

Get-Command –module ActiveDirectory |measure-object|select count

ほとんどのRSAT-AD-PowerShellコマンドレットはGet-から始まります 、Set- またはNew- プレフィックス。

• 取得 –クラスコマンドレットは、Active Directoryからさまざまな情報を取得するために使用されます（ Get-ADUser —ユーザープロパティ、 Get-ADComputer –コンピューター設定、 Get-ADGroupMember —グループメンバーシップなど）。それらを実行するために、あなたはドメイン管理者である必要はありません。すべてのドメインユーザーがPowerShellコマンドを実行して、ADオブジェクト属性の値を取得できます（LAPSの例のように機密属性を除く）。
• セット- クラスコマンドレットは、Active Directoryでオブジェクト設定を設定（変更）するために使用されます。たとえば、ユーザープロパティを変更できます（ Set-ADUser ）、コンピューター設定（ Set-ADComputer ）、グループにユーザーを追加するなど。これを行うには、アカウントにオブジェクトのプロパティを変更する権限が必要です（Active Directoryで管理者権限を委任する方法の記事を参照してください）。
• 新規-で始まるコマンド ADオブジェクトを作成できるようにします（ユーザーを作成します— New-ADUser 、グループを作成します— New-ADGroup ）;
• 削除- コマンドレットは、ADオブジェクトを削除するために使用されます。

コマンドレットのヘルプを取得する方法は次のとおりです。

get-help Set-ADUser

ActiveDirectoryコマンドレットの使用例を次のように表示できます。

(get-help New-ADComputer).examples

PowerShellISEでコマンドレットパラメーターを入力するときにポップアップヒントを使用すると便利です。

RSAT-AD-PowerShellモジュールを使用したActiveDirectory管理

Active DirectoryforPowerShellコマンドレットを使用して実行できる管理者の一般的なタスクをいくつか見てみましょう。

New-ADUser：ADユーザーの作成

新しいADユーザーを作成するには、 New-ADUserを使用できます コマンドレット。次のコマンドでユーザーを作成できます：

New-ADUser -Name "Mila Beck" -GivenName "Mila" -Surname "Beck" -SamAccountName "mbeck" -UserPrincipalName "[email protected]" -Path "OU=Users,OU=Berlin,OU=DE,DC=woshub,DC=com" -AccountPassword(Read-Host -AsSecureString "Input User Password") -Enabled $true

New-ADUserコマンドレットの詳細（ユーザードメインアカウントを一括で作成する方法の例を含む）については、この記事を参照してください。

Get-ADComputer：コンピューターのプロパティの取得

特定のOUのコンピュータープロパティに関する情報（コンピューター名と最終ログオン日）を表示するには、Get-ADComputerコマンドレットを使用します。

Get-ADComputer -SearchBase ‘OU=CA,OU=USA,DC=woshub,DC=com’ -Filter * -Properties * | FT Name, LastLogonDate -Autosize

Add-AdGroupMember：ADユーザーをグループに追加

ADドメインの既存のセキュリティグループにユーザーを追加するには、次のコマンドを実行します。

Add-AdGroupMember -Identity LondonSales -Members e.braun, l.wolf

ADグループのユーザーのリストを表示し、CSVファイルにエクスポートします。

Get-ADGroupMember LondonSales -recursive| ft samaccountname| Out-File c:\ps\export_ad_users.csv

PowerShellからのADグループの管理の詳細をご覧ください。

Set-ADAccountPassword：ADでユーザーパスワードをリセットする

PowerShellからADユーザーパスワードをリセットするには、次のコマンドを実行します。

Set-ADAccountPassword m.lorenz -Reset -NewPassword (ConvertTo-SecureString -AsPlainText “Ne8Pa$$0rd1” -Force -Verbose) –PassThru

ADアカウントのロックを解除、有効化、無効化する方法

ADユーザーアカウントを無効にするには：

Disable-ADAccount m.lorenz

アカウントを有効にするには：

Enable-ADAccount m.lorenz

ドメインパスワードポリシーによってブロックされた後にアカウントのロックを解除するには：

Unlock-ADAccount m.lorenz

Search-ADAccount：非アクティブなオブジェクトと無効なオブジェクトを見つける方法

90日以上ログオンしていないADドメイン内のすべてのコンピューターを検索して無効にするには、Search-ADAccountコマンドレットを使用します。

$timespan = New-Timespan –Days 90
Search-ADAccount -AccountInactive -ComputersOnly –TimeSpan $timespan | Disable-ADAccount

New-ADOrganizationalUnit：ADに組織単位を作成

ADで一般的な組織単位構造をすばやく作成するには、PowerShellスクリプトを使用できます。名前として状態を使用して複数のOUを作成し、それらの中に一般的なオブジェクトコンテナを作成するとします。グラフィカルなADUCスナップインを使用してこのAD構造を手動で作成するには、かなりの時間がかかります。 PowerShell用のADモジュールを使用すると、数秒で実行できます（スクリプトを作成する時間を除く）：

$fqdn = Get-ADDomain
$fulldomain = $fqdn.DNSRoot
$domain = $fulldomain.split(".")
$Dom = $domain[0]
$Ext = $domain[1]
$Sites = ("Nevada","Texas","California","Florida")
$Services = ("Users","Admins","Computers","Servers","Contacts","Service Accounts")
$FirstOU ="USA"
New-ADOrganizationalUnit -Name $FirstOU -Description $FirstOU -Path "DC=$Dom,DC=$EXT" -ProtectedFromAccidentalDeletion $false
foreach ($S in $Sites)
{
New-ADOrganizationalUnit -Name $S -Description "$S" -Path "OU=$FirstOU,DC=$Dom,DC=$EXT" -ProtectedFromAccidentalDeletion $false
foreach ($Serv in $Services)
{
New-ADOrganizationalUnit -Name $Serv -Description "$S $Serv" -Path "OU=$S,OU=$FirstOU,DC=$Dom,DC=$EXT" -ProtectedFromAccidentalDeletion $false
}
}

スクリプトを実行すると、次のOU構造がActiveDirectoryに表示されます。

ADコンテナ間でオブジェクトを移動するには、 Move-ADObjectを使用できます。 コマンドレット：

$TargetOU = "OU=Sales,OU=Computers,DC=woshub,DC=com"
Get-ADComputer -Filter 'Name -like "SalesPC*"' | Move-ADObject -TargetPath $TargetOU

Get-ADReplicationFailure：ADレプリケーションの失敗を確認する

Get-ADReplicationFailureコマンドレットを使用すると、ADドメインコントローラー間のレプリケーションの状態を確認できます。

Get-ADReplicationFailure -Target NY-DC01,NY-DC02

ドメイン内のすべてのDCに関する情報を取得するには、 Get-AdDomainControllerを使用します コマンドレット：

Get-ADDomainController –filter * | select hostname,IPv4Address,IsGlobalCatalog,IsReadOnly,OperatingSystem | format-table –auto

そこで、ADドメインを管理するためのActiveDirectoryPowerShellモジュールの基本機能について検討しました。モジュールの他の機能をさらに調査し、AD管理タスクのほとんどを自動化することをお勧めします。