用于管理 Active Directory 的 11 个基本工具

概览:
在命令行创建对象 在 Active Directory 中执行批量操作 Active Directory 更新和维护

如果您负责处理列有从下周开始工作的 200 名新员工资料的 Excel 电子表格，或者由于技术支持人员点击了某些不应点击的内容而导致用户帐户配置错误，或者您只是需要除了打开“用户和计算机”之外的一种更加轻松的方法来管理 Active Directory®，则有大量免费管理工具可以提供帮助。有些工具内置于 Windows® 操作系统中，有些位于资源工具包或 Windows 支持工具中，而有些甚至是免费的第三方工具。这些便捷工具都包括什么，可以从何处获取？让我们来了解一下。

首先介绍 Windows Server® 2003 中的内置命令行工具，这些工具允许您在 Active Directory 中创建、删除、修改和查找对象。

图 1 介绍了我在此使用过的开关。（注意 CSVDE 和 LDIFDE 命令的开关实际上是相同的。）

LDIFDE 的真正功能在于创建和操作对象。然而，进行此操作之前，您首先需要创建一个输入文件。以下语句创建两个名为 afuller 和 rking 的用户帐户；要创建该输入文件，请在记事本（或者您喜欢的纯文本编辑器）中输入以下文本，然后将其保存为 NewUsers.ldf：

 

dn: CN=afuller, OU=UsersOU, DC=contoso, DC=com changetype: add cn: afullerobjectClass: user samAccountName: afuller dn: CN=rking, OU=UsersOU, DC=contoso, DC=com changetype: add cn: rkingobjectClass: user samAccountName: rking

 

创建完该文件后，请运行以下命令：

 

ldifde –i –f NewUsers.ldf –s DC1.contoso.com

 

您可能会猜到，此处使用的唯一新开关 -i 表明这是一项导入操作而非导出操作。

如果要修改或删除现有对象，不必更改 LDIFDE 命令的语法；相反，您应该修改 LDF 文件中的内容。要更改用户帐户的说明字段，请创建名为 ModifyUsers.ldf 的文本文件，如图 2 所示。

图 2 ModifyUsers LDF 文件 (单击该图像获得较小视图)

图 2 ModifyUsers LDF 文件 (单击该图像获得较大视图)

您可以通过运行与之前相同的 LDIFDE 命令语法，在 -f 开关后面指定新的 LDF 文件名来导入更改。用于删除对象的 LDF 格式更简单；要删除一直使用的用户，请创建一个名为 DeleteUsers.ldf 的文件，然后输入以下内容：

 

dn: CN=afuller OU=UsersOU, DC=contoso, DC=com changetype: deletedn: CN=rking, OU=UsersOU, DC=contoso, DC=com changetype: delete

 

注意，与 CSVDE 不同，LDIFDE 能够配置用户密码。不过，在为用户帐户配置 unicodePWD 属性之前，必须在域控制器上配置安全套接字层/传输层安全性 (SSL/TLS) 加密。

而且，LDIFDE 能够创建和修改任何类型的 Active Directory 对象，并不仅限于用户帐户。例如，下面的 LDF 文件可在 contoso.com 林的架构中创建名为 EmployeeID-example 的自定义架构扩展：

 

dn: cn=EmployeeID-example,cn=Schema,cn=Configuration,dc=contoso,dc=comchangetype: addadminDisplayName: EmployeeID-ExampleattributeID: 1.2.3.4.5.6.6.6.7attributeSyntax: 2.5.5.6cn: Employee-IDinstanceType: 4isSingleValued: TruelDAPDisplayName: employeeID-example

 

由于 LDIFDE 文件使用工业标准 LDAP 文件格式，因此需要修改 Active Directory 架构的第三方应用程序会经常提供 LDF 文件，您可以在将这些更改应用于生产环境之前使用这些文件检查和批准更改。

除了用于执行批量导入和导出操作的工具外，Windows Server 2003 还包括一个内置工具集，您可以使用它来创建、删除和修改各种 Active Directory 对象，还可以对符合特定条件的对象执行查询。（请注意 Windows 2000 Active Directory 并不支持这些工具，如 dsadd、dsrm、dsget 和 dsquery 等。）

joeware.net/freetools 下载。在那里您将会发现大量具有不同功能的工具。我反复使用的有 adfind、admod 和 oldcmp 这三种工具。

图 4 所示。

使用 –asq 开关“显示 HelpDesk 成员的组成员身份”的示例如下所示：

 

adfind –default –rb cn=HelpDesk,ou=IT –asq member memberOf

 

顾名思义，admod 用于修改 Active Directory 中的对象。与 adfind 一样，不需要记住有特殊语法的特定子菜单；admod 在任何时候都使用相同的语法，与要处理的对象类型无关。还可以使用 admod 添加、移动、重命名、删除甚至恢复对象，只需通过添加相应的开关（如 -add、-rm、-move、-undel）即可实现。就像 dsquery 和 dsmod 一样，您也可以使用 | 字符将 adfind 查询的结果通过管道传送到 admod。

请注意，使用 admod 执行恢复操作只能执行逻辑删除恢复操作，在此操作中大部分对象属性已被删除。要完全还原某个对象及其所有属性，您仍需要执行该对象的授权还原。