Active-Directory-Benutzer auf einem Domain Controller verwalten

Active-Directory-Konten direkt von der Geräteseite eines Domain Controllers in octoja anlegen, deaktivieren und ihr Kennwort zurücksetzen.

Auf einem Windows-Domain-Controller ergänzt octoja die Geräte-Detailseite um den Tab Active Directory. Er listet die Benutzerkonten, Computer und Gruppen der Domäne so auf, wie der Agent sie zuletzt erfasst hat — und er lässt dich am Verzeichnis arbeiten, ohne dass du eine Remote-Sitzung öffnen musst: einen Benutzer anlegen, das Kennwort eines Benutzers zurücksetzen, einen Benutzer deaktivieren und die Mitglieder einer Gruppe ändern.

Bevor du beginnst

Auf dem Windows-Gerät muss der octoja-Agent laufen und die Inventarisierung den Dienst NTDS erfasst haben.
Dein Benutzerkonto muss zu einer Gruppe gehören, die für dieses Gerät die Geräteaktion Active Directory gewährt. Du legst das unter Administration → Gruppen fest: Öffne die Gruppe, wechsle auf ihren Tab Gerätezugriff und aktiviere unter Erlaubte Aktionen den Eintrag Active Directory.
Gruppen zu bearbeiten — und damit diese Aktion zu vergeben — erfordert die Berechtigung Gruppenverwaltung. Berechtigungen werden ebenfalls pro Gruppe unter Administration → Gruppen zugewiesen.
Ohne die Geräteaktion Active Directory ist der Tab vollständig ausgeblendet: Wer das Verzeichnis nicht verwalten darf, sieht auch die Verzeichnisdaten nicht.
Für jede Aktion, die das Verzeichnis verändert, und für den Dialog Mitglieder verwalten muss das Gerät online sein, denn sie werden an den laufenden Agent geschickt. Die drei erfassten Listen kannst du dir ansehen, egal ob das Gerät online ist oder nicht.

Den Tab öffnen

Gehe zu Geräte und öffne den Domain Controller.
Wähle den Tab Active Directory. Er liegt in der Tab-Leiste zwischen Dienste und Software.

Woher die Daten kommen

Der Agent liest das Verzeichnis im Rahmen seiner regulären Inventarisierung aus — standardmäßig alle ein bis drei Stunden — und verwendet dafür das Active-Directory-PowerShell-Modul, das auf jedem Domain Controller mitgeliefert wird. Die Listen werden beim Öffnen des Tabs nicht live abgefragt; sie sind also genau so frisch wie der letzte Inventarbericht. Die eine Ausnahme ist der Dialog Mitglieder verwalten einer Gruppe — er liest die direkten Mitglieder live vom Domain Controller.

Die Zeile über den Tabellen sagt dir, wie frisch: Zuletzt erfasst <Datum> oder Noch nicht erfasst, solange noch kein Bericht eingetroffen ist. Jetzt aktualisieren fordert das Gerät auf, sofort eine Inventarisierung auszuführen, und lädt den Tab neu, sobald sie fertig ist. Dieser Button nutzt denselben Mechanismus wie der manuelle Start einer Inventarisierung und braucht deshalb zusätzlich die Geräteaktion Wartung ausführen.

Was der Tab zeigt

Drei Karten, eine je Objekttyp. Jede hat ein eigenes Suchfeld, sortierbare Spalten, 25 Zeilen pro Seite und im Menü … den Eintrag CSV exportieren, der genau das schreibt, worauf das Suchfeld die Liste gerade eingrenzt.

Karte	Spalten	CSV-Datei
Active-Directory-Benutzer	Benutzername, Vorname, Nachname, UPN, Organisationseinheit, Letzte Anmeldung, Letzte Kennwortänderung. E-Mail, Position und Mitglied von sind zunächst ausgeblendet — schalte sie über den Eintrag Spalten im Menü … ein	`ad-users.csv`
Active-Directory-Computer	Name, DNS-Hostname, Betriebssystem, Organisationseinheit, Letzte Anmeldung, Status	`ad-computers.csv`
Active-Directory-Gruppen	Name, Kategorie, Gültigkeitsbereich, Mitglieder, Organisationseinheit, Beschreibung	`ad-groups.csv`

Die Spalte Organisationseinheit zeigt den Pfad eines Objekts innerhalb der Domäne, äußerste Einheit zuerst und durch Schrägstriche getrennt: Ein Konto in OU=IT,OU=Staff steht dort als Staff/IT. Die Domänenkomponenten bleiben weg. Mitglied von listet nur Gruppennamen auf, und Mitglieder in der Gruppenkarte ist schlicht die Anzahl der Mitglieder.

Ein Benutzerkonto, das im Verzeichnis abgeschaltet ist, trägt neben seinem Benutzernamen das Badge Deaktiviert; bei Computern steht in der Spalte Status entweder Aktiviert oder Deaktiviert.

Einen Benutzer anlegen

Klicke oben rechts in der Karte Active-Directory-Benutzer auf Benutzer erstellen. Der Dialog Active-Directory-Benutzer erstellen öffnet sich.

Feld	Was du einträgst
Vorname, Nachname	Optional. Sie füllen die Vor- und Nachnamen-Attribute des Kontos und ergeben zusammen den Namen des Objekts im Verzeichnis (seinen CN); lässt du beide leer, wird stattdessen der Benutzername verwendet. octoja setzt das Anzeigename-Attribut nicht, es bleibt also leer
UPN	Pflichtfeld — zum Beispiel `user@corp.local`. Der Teil vor dem `@` wird zum Benutzernamen des Kontos
Neues Kennwort	Pflichtfeld. Vorbelegt mit einem frisch generierten Kennwort; mit dem Button mit dem Kreispfeil erzeugst du ein weiteres, oder du tippst dein eigenes ein
Organisationseinheit	Pflichtfeld. Die Auswahl listet die aus der Domäne erfassten Organisationseinheiten auf, die erste ist vorausgewählt. Angeboten werden ausschließlich Organisationseinheiten, ein neues Konto landet also immer in einer
E-Mail, Position	Optional. Werden in die Attribute mail und title des Kontos geschrieben
Mitglied von (Gruppen)	Optional. Eine Checkbox-Liste der Gruppen der Domäne mit eigenem Suchfeld. Die Liste zeigt höchstens 200 Gruppen auf einmal — tippe ins Suchfeld, um an die übrigen zu kommen
Benutzer muss Kennwort bei nächster Anmeldung ändern	Standardmäßig angehakt. Nimm den Haken weg, damit das Konto das von dir gesetzte Kennwort behält

Klicke auf Benutzer erstellen. octoja legt das Konto in der gewählten Organisationseinheit an, aktiviert es und fügt es den angehakten Gruppen hinzu. Bei Erfolg erscheint Active-Directory-Benutzer '<Name>' wurde erstellt. und die Liste lädt neu. Lehnt die Domäne die Anfrage ab — ein Kennwort, das die Domänenrichtlinie nicht erfüllt, ein bereits vorhandener Benutzername —, bleibt der Dialog offen und octoja zeigt Active-Directory-Benutzer '<Name>' konnte nicht erstellt werden. samt dem Fehlertext des Domain Controllers.

Ein Kennwort zurücksetzen

Jede Zeile der Benutzertabelle endet mit zwei Icon-Buttons. Das Schlüsselsymbol (Tooltip Kennwort zurücksetzen) öffnet Kennwort für „<Benutzer>“ zurücksetzen.

Das Feld Neues Kennwort ist bereits mit einem generierten Kennwort gefüllt und im Klartext zu sehen. Mit dem Augen-Button blendest du es aus oder wieder ein, mit dem Kopier-Button legst du es in die Zwischenablage, und mit dem Button mit dem Kreispfeil erzeugst du ein anderes. Du kannst auch dein eigenes eintippen.
Lass Benutzer muss Kennwort bei nächster Anmeldung ändern angehakt, um bei der nächsten Anmeldung eine Änderung zu erzwingen, oder nimm den Haken weg.
Klicke auf Kennwort zurücksetzen.

octoja bestätigt mit Kennwort für Active-Directory-Benutzer '<Benutzer>' wurde zurückgesetzt. Kopiere das Kennwort, bevor du den Dialog schließt — octoja speichert es nicht und kann es kein zweites Mal anzeigen.

Einen Benutzer deaktivieren

Das zweite Icon in der Zeile (Tooltip Benutzer deaktivieren) fragt Benutzer „<Benutzer>“ deaktivieren? und erklärt, dass das Konto deaktiviert wird und der Benutzer sich nicht mehr anmelden kann. Klicke auf Bestätigen, um fortzufahren, oder auf Abbrechen, um es sein zu lassen.

Bei Erfolg meldet octoja Active-Directory-Benutzer '<Benutzer>' wurde deaktiviert. und lädt den Tab neu. Auf dem Domain Controller ist das Konto sofort abgeschaltet, in der Tabelle steht es aber weiterhin als aktiviert: Die Listen stammen aus dem letzten Inventarbericht, das Badge Deaktiviert erscheint also erst, wenn frische Verzeichnisdaten eintreffen — klicke auf Jetzt aktualisieren, wenn du es sofort sehen willst. Bei Konten, die die Tabelle bereits als deaktiviert zeigt, ist der Button nicht verfügbar.

Was dieser Tab abdeckt — und was auf dem Domain Controller bleibt

Der Tab Active Directory deckt vier schreibende Vorgänge ab: einen Benutzer anlegen, das Kennwort eines Benutzers zurücksetzen, einen Benutzer deaktivieren und die direkten Mitglieder einer Gruppe pflegen: Jede Zeile der Karte Active-Directory-Gruppen endet mit einem Personen-Symbol (Tooltip Mitglieder verwalten), das die Mitgliederliste der Gruppe öffnet — dort fügst du Benutzer, Gruppen und Computer hinzu oder entfernst sie. Konten löschen, ein deaktiviertes Konto wieder aktivieren sowie Objekte umbenennen oder verschieben bleiben den Active-Directory-Werkzeugen auf dem Domain Controller selbst vorbehalten, und die Computer-Karte ist nur lesend; ein Terminal oder eine Remote-Desktop-Sitzung von derselben Geräteseite aus ist ein Weg dorthin.

Tipps

Beide Kennwortfelder schlagen ein 16 Zeichen langes Kennwort aus Groß- und Kleinbuchstaben, Ziffern und Satzzeichen vor, wobei die leicht zu verwechselnden Zeichen I, l, 1, O und 0 weggelassen werden — es lässt sich also gefahrlos vorlesen oder am Telefon diktieren.
Jede Aktion landet im Aktivitätsprotokoll des Geräts unter der Quelle Fernsteuerung, erfolgreiche mit dem Kontonamen — Active-Directory-Benutzer '<Name>' wurde deaktiviert. und so weiter. Ein fehlgeschlagenes Anlegen wird ebenfalls mit dem Kontonamen protokolliert, als Active-Directory-Benutzer '<Name>' konnte nicht erstellt werden. samt dem Fehlertext des Domain Controllers; ein fehlgeschlagenes Zurücksetzen oder Deaktivieren dagegen nur als The Active Directory action failed. samt diesem Fehlertext, ohne den Kontonamen. Kennwörter landen nie im Protokoll.
Jede Aktion läuft auf dem Domain Controller selbst, unter dem Windows-Dienstkonto des octoja-Agents. octoja fragt dich nie nach Domänen-Anmeldedaten und speichert auch keine.
Kann octoja ein neu angelegtes Konto einer der angehakten Gruppen nicht hinzufügen, wird das Konto trotzdem erstellt. Klicke danach auf Jetzt aktualisieren und prüfe in der Spalte Mitglied von, ob die Mitgliedschaften greifen.
Die Verzeichnisaktionen melden sich innerhalb von etwa einer halben Minute zurück. Jetzt aktualisieren ist die Ausnahme: Dahinter läuft eine komplette Inventarisierung, die mehrere Minuten dauern kann. Ist ein Domain Controller ausgelastet oder fällt das Gerät mitten in der Aktion offline, teilt dir octoja mit, dass das Gerät nicht verbunden ist oder dass die Aktion das Zeitlimit überschritten hat und auf dem Gerät noch abgeschlossen werden kann — prüfe das Verzeichnis, bevor du es erneut versuchst.
Bleiben die Tabellen auf einer Maschine leer, von der du weißt, dass sie ein Domain Controller ist, konnte der Agent das Verzeichnis nicht lesen. Stelle sicher, dass das Gerät online ist, und klicke auf Jetzt aktualisieren; der Tab füllt sich, sobald ein Inventarbericht mit Verzeichnisdaten eintrifft.

octoja GmbH