Kapitel 1: Das Active Directory-Modul kennenlernen
Einführung in die Active Directory-Verwaltung mit PowerShell
Die Verwaltung von Active Directory (AD) Umgebungen stellt für IT-Administratoren eine der zentralen Aufgaben im täglichen Betrieb dar. Während die grafischen Verwaltungstools wie Active Directory-Benutzer und -Computer (ADUC) oder das Active Directory-Verwaltungscenter (ADAC) für grundlegende Aufgaben durchaus geeignet sind, stoßen sie bei komplexeren Verwaltungsaufgaben oder der Automatisierung wiederkehrender Prozesse schnell an ihre Grenzen.
PowerShell bietet hier eine mächtige Alternative, die es ermöglicht, Active Directory-Objekte programmatisch zu verwalten, komplexe Abfragen durchzuführen und administrative Aufgaben zu automatisieren. Das Active Directory-Modul für PowerShell stellt dabei die Brücke zwischen der PowerShell-Umgebung und den Active Directory Domain Services dar.
Die Bedeutung der PowerShell-basierten Active Directory-Verwaltung wird besonders deutlich, wenn man bedenkt, dass moderne IT-Umgebungen oft tausende von Benutzern, Computern und Gruppen umfassen. Die manuelle Verwaltung solcher Umgebungen wäre nicht nur zeitaufwendig, sondern auch fehleranfällig. PowerShell ermöglicht es, wiederkehrende Aufgaben zu automatisieren, konsistente Konfigurationen sicherzustellen und umfangreiche Berichte zu erstellen.
Installation und Konfiguration des Active Directory-Moduls
Voraussetzungen für die Installation
Bevor das Active Directory-Modul für PowerShell verwendet werden kann, müssen bestimmte Voraussetzungen erfüllt sein. Die wichtigste Voraussetzung ist das Vorhandensein der Remote Server Administration Tools (RSAT) auf dem System, von dem aus die Active Directory-Verwaltung durchgeführt werden soll.
Systemanforderungen:
Komponente
Anforderung
Betriebssystem
Windows 10, Windows 11, Windows Server 2016 oder höher
PowerShell-Version
PowerShell 5.1 oder höher (PowerShell 7 wird ebenfalls unterstützt)
RSAT
Remote Server Administration Tools müssen installiert sein
Netzwerkzugriff
Verbindung zu einem Domain Controller erforderlich
Berechtigungen
Entsprechende Active Directory-Berechtigungen je nach Aufgabe
Installation der Remote Server Administration Tools
Die Installation der RSAT erfolgt je nach Betriebssystem auf unterschiedliche Weise. Unter Windows 10 und Windows 11 können die RSAT über die optionalen Features installiert werden:
# Installation der RSAT für Active Directory unter Windows 10/11
Get-WindowsCapability -Name RSAT* -Online | Add-WindowsCapability -Online
# Spezifische Installation nur für Active Directory Tools
Get-WindowsCapability -Name "Rsat.ActiveDirectory.DS-LDS.Tools*" -Online | Add-WindowsCapability -Online
Hinweis: Diese Befehle müssen in einer PowerShell-Sitzung mit Administratorrechten ausgeführt werden.
Unter Windows Server ist das Active Directory-Modul standardmäßig verfügbar, wenn die Active Directory Domain Services-Rolle installiert ist:
# Installation der AD DS-Rolle auf Windows Server
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
Überprüfung der Installation
Nach der Installation sollte überprüft werden, ob das Active Directory-Modul korrekt installiert wurde und verfügbar ist:
# Überprüfung, ob das ActiveDirectory-Modul verfügbar ist
Get-Module -ListAvailable -Name ActiveDirectory
# Detaillierte Informationen über das Modul anzeigen
Get-Module -ListAvailable -Name ActiveDirectory | Select-Object Name, Version, ModuleBase, Description
Die Ausgabe sollte Informationen über das ActiveDirectory-Modul anzeigen, einschließlich der Versionsnummer und des Installationspfads.
Laden und Importieren des Moduls
Automatisches vs. manuelles Laden
Moderne PowerShell-Versionen laden Module automatisch, wenn ein Cmdlet aus dem Modul verwendet wird. Dennoch ist es oft sinnvoll, das Modul explizit zu importieren, insbesondere in Skripten oder wenn spezifische Funktionen benötigt werden:
# Explizites Importieren des ActiveDirectory-Moduls
Import-Module ActiveDirectory
# Überprüfung, ob das Modul geladen wurde
Get-Module ActiveDirectory
Modulinformationen anzeigen
Nach dem Laden des Moduls können detaillierte Informationen über die verfügbaren Cmdlets und Funktionen abgerufen werden:
# Alle verfügbaren Cmdlets des ActiveDirectory-Moduls anzeigen
Get-Command -Module ActiveDirectory
# Anzahl der verfügbaren Cmdlets ermitteln
(Get-Command -Module ActiveDirectory).Count
# Cmdlets nach Kategorien gruppieren
Get-Command -Module ActiveDirectory | Group-Object Verb | Sort-Object Count -Descending
Typische Verb-Kategorien im ActiveDirectory-Modul:
Verb
Beschreibung
Beispiel-Cmdlets
Get
Abrufen von Informationen
Get-ADUser, Get-ADGroup, Get-ADComputer
Set
Ändern von Eigenschaften
Set-ADUser, Set-ADGroup, Set-ADComputer
New
Erstellen neuer Objekte
New-ADUser, New-ADGroup, New-ADOrganizationalUnit
Remove
Löschen von Objekten
Remove-ADUser, Remove-ADGroup, Remove-ADComputer
Add
Hinzufügen zu Gruppen/Containern
Add-ADGroupMember, Add-ADComputerServiceAccount
Remove
Entfernen aus Gruppen/Containern
Remove-ADGroupMember
Enable
Aktivieren von Objekten
Enable-ADAccount
Disable
Deaktivieren von Objekten
Disable-ADAccount
Unlock
Entsperren von Konten
Unlock-ADAccount
Reset
Zurücksetzen von Passwörtern
Reset-ADServiceAccountPassword
Grundlegende Cmdlets und deren Funktionen
Benutzer-bezogene Cmdlets
Die Verwaltung von Benutzerkonten stellt einen Kernbereich der Active Directory-Administration dar. Das ActiveDirectory-Modul bietet eine Vielzahl von Cmdlets für die Benutzerverwaltung:
# Alle Benutzer in der Domäne auflisten
Get-ADUser -Filter *
# Spezifischen Benutzer suchen
Get-ADUser -Identity "max.mustermann"
# Benutzer mit erweiterten Eigenschaften abrufen
Get-ADUser -Identity "max.mustermann" -Properties *
# Benutzer basierend auf Kriterien suchen
Get-ADUser -Filter "Department -eq 'IT'" -Properties Department, Title, Manager
Wichtige Parameter für Get-ADUser:
Parameter
Beschreibung
Beispiel
-Identity
Eindeutige Identifikation des Benutzers
"max.mustermann" oder "CN=Max Mustermann,OU=Users,DC=contoso,DC=com"
-Filter
Filterbedingungen für die Suche
"Enabled -eq $true"
-SearchBase
Basis-OU für die...
