Crear un grupo dinámico en Active Directory con usuarios de una unidad organizativa

Me gustaría crear un grupo dinámico con usuarios de una unidad organizativa específica en mi Active Directory. Puedo hacer esto perfectamente usando la lista de distribución dinámica de Exchange, pero, por supuesto, los DDL Ex solo son para correo.

¿Hay alguna forma de crear esto? Encontré algunas guías que usan System Center para manejar esto, pero System Center no es una opción.

Gracias por adelantado,

No existe un grupo de seguridad dinámica en Active Directory, solo grupos de distribución dinámica.

Para lograr esto, creo que la opción más viable sería tener un script de Powershell que determine quiénes están en la unidad organizativa dada y que actualice el grupo de seguridad en consecuencia, tal vez así:

Import-Module ActiveDirectory
$groupname = PseudoDynamicGroup
$users = Get-ADUser -Filter * -SearchBase "ou=desiredUsers,dc=domain,dc=tld"
foreach($user in $users)
{
  Add-ADGroupMember -Identity $groupname -Member $user.samaccountname -ErrorAction SilentlyContinue
}
$members = Get-ADGroupMember -Identity $groupname
foreach($member in $members)
{
  if($member.distinguishedname -notlike "*ou=desiredUsers,dc=domain,dc=tld*")
  {
    Remove-ADGroupMember -Identity $groupname -Member $member.samaccountname
  }
}

Estoy respondiendo mi propia pregunta. Con las ideas de PowerShell de Mathias, he encontrado esto en Internet:

https://github.com/davegreen/shadowGroupSync

Caracteristicas

• Sincronice los objetos de usuario o computadora de una o más unidades organizativas a un solo grupo.
• Capacidad para filtrar objetos incluidos en el grupo de sombra mediante el filtro de Active Directory de PowerShell.
• Posibilidad de elegir el tipo de grupo de sombra (Seguridad / Distribución).

El blog del autor contiene información adicional sobre el diseño y los motivos de la herramienta.

Esto se puede hacer con Adaxes. Técnicamente, actualizará dinámicamente la pertenencia al grupo una vez que los usuarios se actualicen / muevan. Aquí hay un ejemplo de cómo mantener automáticamente la pertenencia al grupo según el atributo del Departamento, pero es muy fácil modificarlo para que haga lo mismo según la unidad organizativa. http://www.adaxes.com/tutorials_AutomatingDailyTasks_AddUsersToGroupsByDepartment.htm

También busqué una forma de crear grupos de seguridad dinámicos en Active Directory, y llegué a la conclusión como Mathias. Mi solución no era tan elegante como la suya, utilizo un script de PowerShell programado para eliminar a todos los usuarios de los grupos y luego llenarlos con los usuarios en la unidad organizativa. Además, me aseguré de que los grupos de unidades organizativas secundarias se agregaran al grupo de seguridad de las unidades organizativas principales donde cabía.

import-module ActiveDirectory
Get-ADGroupMember OU_GroupName | % { Remove-ADGroupMember 'OU_GroupName' -Members $_ -Confirm:$false}
Get-ADUser -SearchBase 'OU=OUName,OU=ParentOUName,DC=DomainName,DC=TopDomainName' -Searchscope 1 -Filter * | % { Add-ADGroupMember 'OU_GroupName' -Members $_ }
Add-ADGroupMember -Identity "OU_ParentName" -Members "OU_ChildOneName", "OU_ChildTwoName", "OU_ChildThreeName"

No estoy seguro si esto escala bien en una gran compañía, pero el script solo usa unos minutos en nuestra compañía de 300 usuarios.

La forma más fácil es usar DynamicGroup. http://www.firstattribute.com/en/active-directory/ad-automation/dynamic-groups/

Lo estamos ejecutando en varios entornos después de una migración de Novell a Active Directory.

Es un software para crear automáticamente grupos de unidades organizativas, grupos de departamentos, etc. Simplemente cree el filtro y listo.

A la declaración dejada por otro miembro. Si no ejecuta esto desde un controlador de dominio, deberá proporcionar una entrada estática reemplazando $ domainController o puede agregar otra, seguida de $ DomainController y pasar esa información.

Para agregar un usuario a un grupo

Function AddUserToGroup($Group, $User, $DomainController)
{
 if(!(Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Add-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return  "The user: $User is already in the $group"
 }
}

Para eliminar un usuario, puede hacer lo mismo.

Function RemoveUserFromGroup($Group, $User, $DomainController)
{
 if((Get-ADGroupMember -Identity $group | ?{$_.name -eq $User}))
 {
  Remove-ADGroupMember -Identity $group -Members $User -Server $DomainController
 }
 else
 {
  return "The user: $User is not a member of $group"
 }
}

Ahora para usar esto puedes hacer esto ...

$Users = Get-Aduser -Filter *
Foreach($user in $users)
{
  AddUserToGroup "SomeGroup" $user.name "ServerName"  
}

o

Sería mejor tener una unidad organizativa de usuarios deshabilitados o algo donde esto pueda tener lugar o si cambia unidades organizativas como sitio o grupo

$Users = Get-Aduser -Filter * 
Foreach($user in $users)
{
  RemoveUserToGroup "SomeGroup" $user.name "ServerName"  
}