Como listar miembros de un grupo en multiples dominios con Get-ADGroupMember

Si alguna vez han intentado buscar objetos en un AD con múltiples dominios, seguramente utilizaron para ello un Global Catalog como indica un artículo anterior de este blog. Pero si trataron de ver qué usuarios pertenecen a un determinado grupo, seguramente se habrán encontrado con algún problema.

 

Como siempre, antes de utilizar un cmdlet de AD, es necesario importar el módulo (Figura 1).

 

Import-Module ActiveDirectory

Figura 1

 

Ya con el módulo importado en la sesión de PowerShell, podemos utilizar Get-ADGroup para encontrar información del grupo. Si consultamos por un grupo de nuestro propio dominio no hay mayor dificultad, pero si el grupo está en un dominio distinto no veremos resultados (Figura 2)

Figura 2

 

Para poder consultar la información de Get-ADGroup de un grupo que pertenece a un dominio distinto de aquel en el cual estamos autenticados, debemos especificar el server que queremos consultar, y aclarar que queremos utilizar el puerto de Global Catalog (Figura 3).



Get-ADGroup -Filter {name -like "NombreDelGrupo"}-Server:"NombreDelServer:PuertodeGC"

Figura 3

Con la información del grupo podemos buscar los miembros, pero si tratamos de realizar un pipe entre los cmdlets Get-ADGroup y Get-ADGroupMember obtendremos un error (Figura 4).

Figura 4

Especificar un Global Catalog no ayuda de mucho: especificar un server de otro dominio nos indica que no encuentra el grupo; especificar un server del mismo dominio, nos indica que la operación no está soportada en un Global Catalog (Figura 5).

Figura 5

La solución (Figura 6) es que no hay que especificar un server en el parámetro "-Server", sino que hay que indicar el dominio al que pertenece el grupo (Información que obtuvimos en la consulta realizada en la Figura 3).

Figura 6

Si realizamos un pipe entre ambos cmdlets, podremos obtener información de cada usuario miembro del grupo (Figura 7).

Figura 7

 

Editar todas las filas en SQL 2008 / R2

A partir de SQL Server 2008 ya no es posible ver la opción de editar todas las filas de una tabla en forma predeterminada (Figura 1).

 

 

Figura 1

 

Sin embargo podemos modificar este comportamiento desde Options en el menú Tools (Figura 2) . En SQL Server Object Explorer podemos seleccionar los valores que se verán en el menú contextual del Microsoft SQL Server Management Studio (Figura 3).

Figura 2

Figura 3

Seleccionando un valor de 0 (cero), podemos ver la opción de Edit All Rows (Editar todas las filas) en el menú contextual (Figura 4).

Figura 4

Get-Mailbox muesta información erronea en ServerName

Contar la cantidad de mailboxes que hay dentro de un MailboxServer puede resultar más complejo de lo que parece.

 

Si utilizamos el cmdlet:

 

Get-Mailbox -Server -ResultSize Unlimited | Measure-Count

 

obtendremos la cantidad de casillas (Figura 1)

 

Figura 1

 

Pero si utilizamos el cmdlet:

 

Get-MailboxDatabase -Server | Get-Mailbox  -ResultSize Unlimited | Measure-Count

 

obtendremos un número diferente de casillas (Figura 2)

 

Figura 2

 

 

Esto se debe a que Exchange Server 2010 no actualiza el atributo msExchHomeServerName cuando se mueve un usuario a otro servidor. Por eso cuando consultamos por un usuario, el nombre del servidor puede estar desactualizado (Figura 3).

 

Figura 3

 

En este caso, el server MIRSWMBX100 no existe dentro de la organización de Exchange Server, pues éste fue removido y los usuarios pasaron al servidor MIRSWMBX105.

 

Para actualizar múltiples usuarios podemos usar el script Clear-ServerName.ps1, que acepta dos parámetros:

-OldServer: Para indicar el servidor que ya no existe más y queremos actualizar

-ListOnly: Para indicar que solo queremos listar los usuarios con un server erróneo, pero no actualizarlos (Comportamiento predeterminado)

 

Para listar los usuarios que tienen el parámetro ServerName incorrecto, podemos buscar el nombre del server y -ListOnly en $True (Figura 4).

 

.\Clear-ServerName.ps1 -OldServer ServerName -ListOnly:$True 

 





Figura 4

Con el parámetro -ListOnly:$False, se actualiza la información en los Mailboxes de los usuarios (Figura 5).

.\Clear-ServerName.ps1 -OldServer ServerName -ListOnly:$false

Figura 5

Podemos comprobarlo con un Get-Mailbox (Figura 6)

Figura 6

 

Para crear el script, hay que copiar el siguiente texto en un editor (por ejemplo Notepad.exe) y guardarlo con la extensión .ps1

 

Param(

 [string]$OldServer,
 [switch]$ListOnly=$True
)

Set-ADServerSettings -ViewEntireForest 1
Write-Host "Searching for Server" $OldServer
If ($ListOnly -ne $False) {$ListOnly = $True}
Write-Host "List Only" $ListOnly
Write-Host

 

$Mailboxes=$null

[int]$a= (Get-Mailbox * -ResultSize Unlimited| where {$_.Servername -eq $OldServer} | Measure-Object).count

Write-host "Total Mailbox found:" $a

if ($a -eq 0)

{write-host "No Mailboxes found on server" $oldServer}

Else

{

    $Mailboxes = Get-Mailbox * -ResultSize Unlimited| where {$_.Servername -eq $OldServer}
   
    foreach ($Mailbox in $Mailboxes)
    {

    $MBX = $null;

    $MBX = Get-Mailbox -Identity $Mailbox

    If ($ListOnly -ne $True)

 {

    write-Host "Updating" $Mbx;
    Set-Mailbox $MBX -Database $MBX.Database -Confirm:$false -Force
    }

    else

 {$NewServer=(Get-MailboxDatabase $MBX.Database | Select Server);
    write-Host $MBX;
    write-Host $NewServer
    }

    }

}

 

Gracias a Yusuf por su artículo y los consejos para el script. 

 

¿ De que color es tu server ? - Lab Tip Nro 3

¿Cómo saber si un server es una instalación full o un server core antes de iniciar sesión? ¡Muy simple! Podés ver el color de la pantalla.

Si es un Windows Server 2012/R2 con instalación Server Core, la pantalla es azul (Figura 1). Si es un Windows Server 2012/R2 con instalación GUI (o MSI), la pantalla es gris (Figura 2).

Figura 1

Figura 2

OU no se pueden mover en Active Directory

Como Administrador del dominio, existen acciones que no podemos ejecutar. Una de ellas es intentar mover una OU a otra ubicación dentro de nuestro AD, lo que provoca un error de "Access is Denied." (Figura 1).

 

Windows cannot move object "Name" because: Access is denied

Figura 1

 

Esto ocurre porque desde Windows Server 2008 en adelante, cada vez que se crea una OU, el objeto tiene protección contra borrado accidental. Esta protección evita también que se mueva una OU. Para ver si la OU está protegida o no, debemos seleccionar las opciones avanzadas (Advanced Features) en el ADUC (Figura 2).

 

Figura 2

 

 

Y luego ver las propiedades del objeto (Figura 3).

 

Figura3

 

Al quitar el tilde, es posible mover el objeto a su destino final sin problemas. Es recomendable volver a colocarlo una vez realizado el movimiento.

¿Qué es lo que impide que un Administrador del dominio no pueda borrar o mover un objeto? Simplemente que el grupo Everyone tiene negada la posibilidad de borrar el objeto (Figura 4).

 

Figura 4

Mailbox Database sin copia en DAG de Exchange 2010. Evento 4113.

Exchange Server 2010 realiza una comprobación de cuántas copias hay disponibles de cada Mailbox Database. Cuando la cantidad de copias es solo una, podemos ver un evento 4113 registrado en el Event Log (Figura 1).

Figura 1

 

 

Adicionalmente, si tenemos SCOM para monitorear nuestros equipos, vemos la siguiente alarma (Figura 2).

 

KHI:This database has had only one healthy copy from over 20 minutos of the last hour.

Figura 2

Exchange realiza esta comprobación mediante un script llamado CheckDatabaseRedundancy.ps1 que se encuentra en la carpeta scripts de nuestro servidor de Exchange. Podemos ejecutarlo desde una consola de Power Shell EMS para ver su resultado (Figura 3).

Figura 3

En la figura 3 se ve que las bases que tienen solo una copia figuran en estado Rojo (Red), mientras que las que tienen al menos dos copias aparecen en estado verde (Green).

 

Sin embargo existe la posibilidad de que necesitemos que algunas bases sean ignoradas en este control, dado que tener alta disponibilidad en las bases es una opción, no es obligatorio.

 

Recientemente en la empresa Daris me solicitaron que ignorara las bases marcadas como "DARB", pues esas bases correspondían a usuarios "Básicos", según ellos habían definido en su nomenclatura. Para realizar eso, en el script de control, cambiamos una línea:

 

[string] $SkipDatabasesRegex = "DARB",

Si volvemos a ejecutar el script, vemos que esas bases no se controlan (Figura 4 ).

Figura 4

Luego me pidieron que se ignorararan además las bases que contenían "DARA", dado que éstas son bases de pruebas para aplicativos, por lo cual tampoco necesitaban tener alta disponibilidad.

 

Para ignorar qué Mailbox Databases se deben verificar, este script utiliza  una "Regular Expression" en Power Shell, entonces construimos una que incluya ambas cadenas.

 

[string] $SkipDatabasesRegex = "DARB|DARA",

Cuando ejecutamos el script podemos ver que ya no aparecen las bases que concuerdan con nuestra regular expression (Figura 5), tampoco aparecen más los eventos 4113 ni las alertas de scom.

Figura 5

 

Para construir estas regular expressions hay algunas opciones simples, pero muy interesantes:

"Texto" = Ignora las Mailbox Databases que incluyen "Texto" en cualquier parte.
Ej "EsteTexto"

"^Texto" = Ignora las Mailbox Databases que comienzan con "Texto".
Ej "TextoDeEjemlo"

"Texto$" = Ignora las Mailbox Databases que finalizan con "Texto".
Ej "EjemploDeTexto"

"|" = El separado "Pipe" funciona como un "or" y nos permite incluir varias expresiones.
Ej:"Texto1|Text2"

Removiendo Exchange Server 2010 Provisionados

Antes de instalar un Exchange Server 2010, un miembro del grupo Organization Management debe provisionar la cuenta de equipo en donde se realizará la instalación.

 

Setup.com /NewProvisionedServer:ServerName

 

De forma similar, cuando alguien que no es miembro de ese grupo desinstala un Exchange Server 2010 (por renovación de hardware, migración, etc.) hay que desaprovisionar la cuenta de equipo para evitar que Exchange Server 2010 se vuelva a instalar en ese server. Podemos utilizar un cmdlet para verificar si hay algún server en este estado dentro de la organización de Exchange  (Figura 1).

Get-ExchangeServer | ? {$_.ServerRole -like "*Provisioned*"} | ft Name, ServerRole,Edition -AutoSize

Figura 1

Con el "Setup.com" de Exchange Server 2010 es posible desaprovisionar el equipo.

Setup.com /RemoveProvisionedServer:ServerName