Форум системных администраторов

IT => Windows => Тема начата: goro от 13 ноября 2017, 14:11:09

Название: Деллегирование прав для HR
Отправлено: goro от 13 ноября 2017, 14:11:09
Добрый день.
Наверняка тема на раз подымалась, но исчерпывающего простого ответа я не нашел.
Итак нужно дать права сотрудника HR отдела на такие операции:
редактирвоание\заполнение телефона
редактирвоание\заполнени должности, отдела, организации, руководителя подчиненных
перемещение в другую OU
добавление Фото

Буду очень признателен тем кто поделится удачным опытом.
Название: Деллегирование прав для HR
Отправлено: Retif от 13 ноября 2017, 14:28:56
Ну дык делегирование на OU в оснастке AD Юзеры и компьютеры, там выбери Custom и настраивай нужные тебе объекты и их свойства. А потом в оснастке у юзера на компе (придется RSAT поставить) сделать настроенную MMC-шку (именно mmc, а не родную оснастку) с "New Windows from here" (Новое окно отсюда) на нужной OU, чтобы они только определенные OU видели. И ярлык на эту mmc.

Но, если честно, я бы кадровикам это не доверял. Особенно перемещение между OU.

Самый нормальный вариант, когда они в 1С всё это вносят, а ты повершеллом забираешь и сам в AD меняешь нужные поля.
Название: Деллегирование прав для HR
Отправлено: goro от 13 ноября 2017, 14:53:46
Да перемещение по OU действительно немного рисковано...

Но телефон, должность, отдел... ничего рискованого.

А названия этих свойств:
телефона, должности, отдела, организации, руководителя подчиненных, фото

нет выписаных, чтоб не искать долго(не сочитет за наглось)...?
Название: Деллегирование прав для HR
Отправлено: Retif от 13 ноября 2017, 15:01:12
Но телефон, должность, отдел... ничего рискованого.

На самом деле, для кадровика просто будет неудобно в двух программах вводить. А тебе просто вычислить, как забирать из 1С (или что у них там), это самый сложный момент. А там в повершелле дальше просто.

Вот у меня какой-то скрипт:
import-csv c:\Scripts\users.csv | Foreach-object {
 
    $Fname = $_.FName
    $LName = $_.LName
    $User = $_.Username
    $Phone = $_.OfficePhone
    $title = $_.title
    $department = $_.department

    try {
        Set-ADUser -Identity $User -OfficePhone "$($Phone)" -Title "$($title)" -Department "$($department)" -confirm:$false -ErrorAction Stop
        Write-Host "У пользователя $($User) атрибуты изменены на следующие:" -ForegroundColor Gray
        Write-Host "Номер телефона: $($Phone)" -ForegroundColor Green
        Write-Host "Отдел: $($department)" -ForegroundColor Green
        Write-Host "Должность: $($title)" -ForegroundColor Green
        Write-Host  ""
    }
    catch {
        Write-Host "Ошибка изменения атрибутов пользователя $($User) : [$($_.Exception.Message)]" -ForegroundColor Red
    }
}

Атрибуты-то нужны сам поищи, заполняешь нужные поля на тестовом юзере, потом

Get-Aduser <имя учетки тестового юзера> -Properties * | fl

И ищешь свои атрибуты.




Updated: 13 November 2017, 15:13:16

А-а, вот из этой темы скрипт:   Есть ли какие то недорогие удобные средства для работы с AD/адресной книгой.
Название: Деллегирование прав для HR
Отправлено: goro от 15 ноября 2017, 17:47:22
А как в случае необходимости отозвать диллегирование?
Название: Деллегирование прав для HR
Отправлено: Retif от 15 ноября 2017, 17:58:36
А как в случае необходимости отозвать диллегирование?
Вкладка Security в свойствах OU, оттуда удалить. В оснастке вид должен быть Advanced, чтобы эта вкладка была видна.
Название: Деллегирование прав для HR
Отправлено: goro от 16 ноября 2017, 12:06:16
Еще остался вопрос о том как отделу кадров добавлять фото?
Какой наиболее простой и удобный способ?
Название: Деллегирование прав для HR
Отправлено: Retif от 16 ноября 2017, 12:26:10
goro, а у вас Exchange есть? Вообще в принципе добавление в AD фотографии с её убогим размером 64x64 как-то не айс. Еще и в самой AD её и не увидишь без костылей.
Название: Деллегирование прав для HR
Отправлено: Fray от 17 ноября 2017, 16:45:00
а у вас Exchange есть? Вообще в принципе добавление в AD фотографии с её убогим размером 64x64 как-то не айс. Еще и в самой AD её и не увидишь без костылей.
Кроме Exchange с большиа разрешением фотографий, можно еще Sharepoint поюзать в выгрузкой в AD. Но там фотки 64x64 дефолтно
Название: Деллегирование прав для HR
Отправлено: Retif от 17 ноября 2017, 16:54:32
Но там фотки 64x64 дефолтно
Такие и напрямую в AВ можно, без шарепоинта.
Название: Деллегирование прав для HR
Отправлено: goro от 24 ноября 2017, 17:03:01





Updated: 24 November 2017, 17:03:25

Сейчас самая больша япроблема это диллегировать права на город, область, край, не могу найти эти свойства...

Get-Aduser <имя учетки тестового юзера> -Properties * | fl

посмотрел, но все равно не вижу
Название: Деллегирование прав для HR
Отправлено: sirarthur от 24 ноября 2017, 19:38:03
посмотрел, но все равно не вижу
Цитировать
PS C:\Windows\system32> Get-Aduser test -Properties * | fl
c                                    : RU
CannotChangePassword                 : False
City                                 :
CN                                   : test
co                                   : Россия
codePage                             : 0
Company                              : *************
CompoundIdentitySupported            : {}
Country                              : RU
countryCode                          : 643
Created                              : 13.08.2011 11:59:45
createTimeStamp                      : 13.08.2011 11:59:45
Department                           : ИТ
Description                          :
DisplayName                          : test
Division                             :
EmailAddress                         : test@*****************.ru
EmployeeID                           :
EmployeeNumber                       :
Enabled                              : True
extensionAttribute15                 : RU
Fax                                  :
GivenName                            :
HomeDirectory                        :
HomedirRequired                      : False
HomeDrive                            :
HomePage                             :
HomePhone                            :
Name                                 : test
Office                               :
OfficePhone                          : *******
Organization                         :
otherFacsimileTelephoneNumber        :
OtherName                            :
POBox                                :
PostalCode                           :
sn                                   :
st                                   : RU
State                                : RU
StreetAddress                        : test
Surname                              :
telephoneNumber                      : *******
Title                                : ******
Название: Деллегирование прав для HR
Отправлено: goro от 24 ноября 2017, 20:32:49
в таком виде я вижу...
А вот при делигеировании...
(http://dl4.joxi.net/drive/2017/11/24/0025/1156/1651844/44/8d5fdacf5a.jpg)

не нахожу их тут
Название: Деллегирование прав для HR
Отправлено: sirarthur от 24 ноября 2017, 22:33:12
ааа  ??? вот тут я хз
Название: Деллегирование прав для HR
Отправлено: Retif от 25 ноября 2017, 11:01:32
это диллегировать права на город, область, край, не могу найти эти свойства...
На предыдущей странице User Object выбери.
Название: Деллегирование прав для HR
Отправлено: goro от 25 ноября 2017, 11:19:07
Ну так и выбирал

(http://dl4.joxi.net/drive/2017/11/25/0025/1156/1651844/44/4abd5f2ce1.jpg)
Название: Деллегирование прав для HR
Отправлено: Retif от 25 ноября 2017, 11:21:50
Аккаунт еще посмотри.
Название: Деллегирование прав для HR
Отправлено: goro от 25 ноября 2017, 14:07:50
нет и там...
Название: Деллегирование прав для HR
Отправлено: goro от 27 ноября 2017, 18:21:04
Где еще искать эти поля?
ООООчень нужно.
Название: Делегирование прав для HR
Отправлено: goro от 30 ноября 2017, 10:54:21
Коллеги с течнета подсказали что

Цитировать
Это свойство по-умолчанию скрыто. Чтобы оно появилось в делегировании нужно в файле %windows%\system32\dssec.dat изменить l=7 на l=0

Что подтвердилось неоднократно
https://www.winvistatips.com/threads/assign-permissions-to-city-field.689055/
https://social.technet.microsoft.com/Forums/lync/en-US/4e8b6ab1-6961-4bf1-b697-3e358fc5575f/delegate-control-in-ad-to-update-city-and-stateprovince?forum=winserverDS

НО

изменения в файл я внес, ADUC перезапустил и все равно не увидел возможности делегировать этот атрибут

Может ли кто-то подтвердить что его можно делегировать так?

Название: Деллегирование прав для HR
Отправлено: Retif от 30 ноября 2017, 12:09:32
Может контроллер перезагрузить нужно?


Updated: 30 November 2017, 12:10:38

Ну и он там пишет, что "May require a gpupdate first."
Название: Деллегирование прав для HR
Отправлено: goro от 30 ноября 2017, 12:54:46
После перезагрузки действительно появилось это поле.