PowerShell für Active Directory Schulung: Verwaltung und Berichte

PowerShell für Active Directory einrichten

• AD-Verwaltung automatisieren: Massenänderungen, Berichte und wiederkehrende Pflege
• PowerShell 7 und Windows PowerShell 5.1: wo ActiveDirectory und GroupPolicy laufen
• Ausführung auf dem Domänencontroller, auf der Admin-Workstation oder per Remoting
• Get- und Hilfe-Befehle: Get-Command -Module ActiveDirectory und Hilfe zur Filtersyntax
• Aliase und das Laufwerk AD: – warum Skripte ausgeschriebene Cmdlet-Namen verwenden
• VS Code mit PowerShell-Erweiterung als Nachfolger der PowerShell ISE für AD-Skripte

Mit PowerShell eine Verbindung zu Active Directory herstellen

• RSAT installieren: Add-WindowsCapability auf Windows 11, Install-WindowsFeature auf Servern
• Ziel-Domänencontroller mit -Server wählen und Anmeldedaten mit -Credential übergeben
• Remote-Verwaltung mit Invoke-Command und importierten Modulen aus einer Remotesitzung
• Server zu Domänencontrollern heraufstufen mit Install-ADDSForest und Install-ADDSDomainController
• Heraufstufung vorab prüfen mit Test-ADDSDomainControllerInstallation
• Windows Server 2025: msDS-JetDBPageSize prüfen und 32k-Datenbankseiten mit Enable-ADOptionalFeature aktivieren

Active Directory-Objekte mit PowerShell verwalten

• Benutzer anlegen, ändern und deaktivieren mit New-ADUser, Set-ADUser und Disable-ADAccount
• Effizient suchen: -Filter, -LDAPFilter, -SearchBase und nur benötigte -Properties
• Organisationseinheiten anlegen und vor versehentlichem Löschen schützen
• Computerkonten verwalten, vorab anlegen und mit Move-ADObject in OUs verschieben
• Gruppen anlegen: Gruppentyp und -bereich, Mitglieder mit Add-ADGroupMember
• Verschachtelte Gruppen auflösen mit Get-ADGroupMember -Recursive
• Drucker mit dem Modul PrintManagement einrichten und im Verzeichnis veröffentlichen

Gruppenrichtlinien mit PowerShell

• Gruppenrichtlinien erstellen und verknüpfen mit New-GPO und New-GPLink
• Registry-basierte Einstellungen setzen mit Set-GPRegistryValue
• GPOs sichern und wiederherstellen mit Backup-GPO und Restore-GPO
• Richtlinien dokumentieren mit Get-GPOReport und Ergebnissatz mit Get-GPResultantSetOfPolicy

Mit PowerShell Active Directory automatisieren

• Skripterstellung für AD: Parameterblock, -WhatIf und Fehlerbehandlung je Objekt
• Erweiterte Skripte: eigene Funktionen für wiederkehrende AD-Aufgaben in einem Modul
• Mehrere Objekte hinzufügen: Benutzer und Gruppen aus CSV mit Prüfung auf Duplikate
• Massenänderungen an Attributen aus CSV mit Vorher-nachher-Protokoll
• AD-Papierkorb aktivieren und gelöschte Objekte mit Restore-ADObject zurückholen
• Veraltete Computer- und Benutzerkonten deaktivieren und in eine Quarantäne-OU verschieben
• FSMO-Rollen anzeigen und verschieben mit Move-ADDirectoryServerOperationMasterRole

Active Directory-Berichterstellung und -Überwachung

• Berichts-Cmdlets: Search-ADAccount für inaktive, gesperrte und abgelaufene Konten
• lastLogonTimestamp richtig deuten und Berichte als CSV oder HTML ausgeben
• Kennwortablauf berechnen über msDS-UserPasswordExpiryTimeComputed
• Privilegierte Gruppen, adminCount und Konten mit nie ablaufendem Kennwort auswerten
• Replikation überwachen mit Get-ADReplicationPartnerMetadata und Get-ADReplicationFailure
• repadmin /replsummary und dcdiag in Überwachungsskripte einbinden

Delegierte Rechte, Dienstkonten und Kontoschutz

• Delegierte Rechte auf OUs auslesen mit Get-Acl und setzen mit dsacls
• Gruppenverwaltete Dienstkonten mit Add-KdsRootKey, New-ADServiceAccount und Install-ADServiceAccount
• Fein abgestimmte Kennwortrichtlinien mit New-ADFineGrainedPasswordPolicy
• Windows LAPS: lokale Administratorkennwörter mit Get-LapsADPassword abrufen
• Gruppe „Protected Users“ und getrennte Administratorkonten per Skript prüfen

Schnittstelle zu Entra Connect und Cloud Sync

• Synchronisation mit Entra Connect Sync anstoßen: Start-ADSyncSyncCycle -PolicyType Delta
• Anwendungsbasierte Authentifizierung von Connect Sync mit Get-ADSyncEntraConnectorCredential prüfen
• Umstieg auf Entra Cloud Sync: Vergleich, geführtes Migrationswerkzeug und welche Attribute in die Cloud gelangen
• UPN-Suffixe und proxyAddresses vor der Synchronisation bereinigen
• Überblick: Cloud-Konten mit Graph PowerShell im Seminar PowerShell für Microsoft 365

Active Directory-Skripte mit Coding-Agenten

• Agent führt Get-AD*-Cmdlets gegen eine Testdomäne aus, Set- und Remove- nur als Vorschlag
• Agent baut -Filter-Ausdrücke, Sie prüfen die Treffermenge mit Measure-Object vor der Änderung
• Bei CSV-Massenänderungen erzeugt der Agent zuerst einen Abweichungsbericht statt der Änderung
• GPO-Änderungen des Agenten mit Backup-GPO vorher und Get-GPOReport-Vergleich nachher absichern
• Pester-Tests mit gemocktem Get-ADUser für Offboarding- und Berichtslogik in Active Directory

Praxisprojekt: monatlicher AD-Gesundheits- und Sicherheitsbericht

• Inaktive Konten, Kennwortablauf und Mitglieder privilegierter Gruppen sammeln
• Replikationsstatus aller Domänencontroller und FSMO-Rolleninhaber ergänzen
• HTML-Bericht erzeugen und als geplante Aufgabe unter einem gMSA ausführen