PowerShell-скрипты для автоматизации Active Directory

MSP-компания «АдминПро» обратилась к специалистам itfresh.ru с типичной для провайдера управляемых услуг проблемой. Их инженеры обслуживали пять доменов Active Directory общей численностью 2000 пользователей. Ежедневные рутинные операции — создание учётных записей, сброс паролей, аудит групп, очистка неактивных аккаунтов — занимали до 4 часов рабочего времени администратора.

Все операции выполнялись вручную через оснастку Active Directory Users and Computers (ADUC). При приёме нового сотрудника администратор тратил 15-20 минут: создание учётки, добавление в группы, настройка почтового ящика Exchange, создание домашней папки, назначение прав. При увольнении — столько же на отключение всех сервисов.

Мы разработали набор из 10 PowerShell-скриптов, которые сократили время выполнения рутинных операций с 4 часов до 20 минут в день. Каждый скрипт полностью автономен и запускается по расписанию через Task Scheduler.

Первый и самый востребованный скрипт — создание пользователей из CSV-файла. HR-отдел заполняет Excel-таблицу с данными новых сотрудников, экспортирует в CSV, и скрипт автоматически создаёт учётные записи со всеми необходимыми атрибутами.

# bulk_create_users.ps1
# CSV-файл: LastName,FirstName,Department,Title,Office,Phone,Manager
param(
    [Parameter(Mandatory)]
    [string]$CsvPath,
    [string]$Domain = "company.local",
    [string]$DefaultPassword = "Welcome2024!",
    [switch]$WhatIf
)

Import-Module ActiveDirectory

$users = Import-Csv -Path $CsvPath -Encoding UTF8
$logFile = "C:\Logs\AD\user_creation_$(Get-Date -Format 'yyyyMMdd_HHmm').log"
$created = 0; $errors = 0

foreach ($user in $users) {
    $firstName = $user.FirstName.Trim()
    $lastName = $user.LastName.Trim()
    
    # Транслитерация для SamAccountName
    $sam = (ConvertTo-Translit "$firstName.$lastName").ToLower()
    $upn = "$sam@$Domain"
    $displayName = "$lastName $firstName"
    
    # Определяем OU по отделу
    $ouMap = @{
        "IT"        = "OU=IT,OU=Users,OU=Company,DC=company,DC=local"
        "Sales"     = "OU=Sales,OU=Users,OU=Company,DC=company,DC=local"
        "HR"        = "OU=HR,OU=Users,OU=Company,DC=company,DC=local"
        "Finance"   = "OU=Finance,OU=Users,OU=Company,DC=company,DC=local"
    }
    $targetOU = $ouMap[$user.Department]
    if (-not $targetOU) { $targetOU = "OU=Users,OU=Company,DC=company,DC=local" }
    
    try {
        if ($WhatIf) {
            Write-Host "[DRY RUN] Would create: $displayName ($sam)" -ForegroundColor Yellow
            continue
        }
        
        New-ADUser -Name $displayName `
            -GivenName $firstName `
            -Surname $lastName `
            -SamAccountName $sam `
            -UserPrincipalName $upn `
            -DisplayName $displayName `
            -Department $user.Department `
            -Title $user.Title `
            -Office $user.Office `
            -OfficePhone $user.Phone `
            -Manager (Get-ADUser -Filter "DisplayName -eq '$($user.Manager)'").DistinguishedName `
            -Path $targetOU `
            -AccountPassword (ConvertTo-SecureString $DefaultPassword -AsPlainText -Force) `
            -ChangePasswordAtLogon $true `
            -Enabled $true `
            -ErrorAction Stop
        
        # Добавляем в группы по отделу
        $groupMap = @{
            "IT"      = @("SG-VPN-Users","SG-IT-Staff","SG-RDP-Users")
            "Sales"   = @("SG-CRM-Users","SG-Sales-Team")
            "HR"      = @("SG-HR-Staff","SG-PersonalData-Access")
            "Finance" = @("SG-1C-Users","SG-Finance-Team")
        }
        foreach ($group in $groupMap[$user.Department]) {
            Add-ADGroupMember -Identity $group -Members $sam
        }
        
        $created++
        "$(Get-Date) [OK] Created: $displayName ($sam)" | Add-Content $logFile
        Write-Host "[OK] $displayName" -ForegroundColor Green
    }
    catch {
        $errors++
        "$(Get-Date) [ERROR] $displayName : $_" | Add-Content $logFile
        Write-Warning "[ERROR] $displayName : $_"
    }
}

Write-Host "`nResults: Created=$created, Errors=$errors" -ForegroundColor Cyan
Write-Host "Log: $logFile"

Скрипт поддерживает режим WhatIf для предварительной проверки без реального создания учёток. Функция ConvertTo-Translit переводит кириллические имена в латиницу по стандарту ГОСТ для формирования логинов.

Скрипт 2: Отчёт об истечении паролей — еженедельный отчёт для администраторов и уведомления пользователям.

# password_expiration_report.ps1
param(
    [int]$WarningDays = 14,
    [string]$SmtpServer = "mail.company.local",
    [string]$AdminEmail = "admin@company.local"
)

Import-Module ActiveDirectory

$maxAge = (Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge.Days
$today = Get-Date
$report = @()

Get-ADUser -Filter {Enabled -eq $true -and PasswordNeverExpires -eq $false} `
    -Properties PasswordLastSet,Mail,Department,DisplayName |
ForEach-Object {
    $expiryDate = $_.PasswordLastSet.AddDays($maxAge)
    $daysLeft = ($expiryDate - $today).Days
    
    if ($daysLeft -le $WarningDays -and $daysLeft -ge 0) {
        $report += [PSCustomObject]@{
            User       = $_.DisplayName
            Login      = $_.SamAccountName
            Email      = $_.Mail
            Department = $_.Department
            ExpiryDate = $expiryDate.ToString("dd.MM.yyyy")
            DaysLeft   = $daysLeft
        }
        
        # Уведомление пользователю
        if ($_.Mail -and $daysLeft -le 7) {
            $body = @"
Здравствуйте, $($_.DisplayName)!

Ваш пароль истекает через $daysLeft дн. ($($expiryDate.ToString('dd.MM.yyyy'))).
Пожалуйста, смените пароль: Ctrl+Alt+Del → Сменить пароль.

Требования: минимум 12 символов, заглавные и строчные буквы, цифры, спецсимволы.
"@
            Send-MailMessage -From "noreply@company.local" `
                -To $_.Mail -Subject "Пароль истекает через $daysLeft дн." `
                -Body $body -SmtpServer $SmtpServer -Encoding UTF8
        }
    }
}

# HTML-отчёт для администратора
$html = $report | Sort-Object DaysLeft |
    ConvertTo-Html -Title "Password Expiration Report" `
    -PreContent "<h2>Пароли истекают в ближайшие $WarningDays дней</h2>" |
    Out-String

Send-MailMessage -From "noreply@company.local" -To $AdminEmail `
    -Subject "[AD] Отчёт: $($report.Count) паролей истекают" `
    -Body $html -BodyAsHtml -SmtpServer $SmtpServer -Encoding UTF8

Скрипт 3: Очистка неактивных учётных записей — отключение аккаунтов, не входивших в систему более 90 дней.

# cleanup_inactive_accounts.ps1
param(
    [int]$InactiveDays = 90,
    [switch]$DisableOnly,
    [switch]$WhatIf
)

Import-Module ActiveDirectory
$cutoffDate = (Get-Date).AddDays(-$InactiveDays)
$logFile = "C:\Logs\AD\inactive_cleanup_$(Get-Date -Format 'yyyyMMdd').log"

# Находим неактивных пользователей
$inactive = Search-ADAccount -AccountInactive -DateTime $cutoffDate -UsersOnly |
    Where-Object {
        $_.Enabled -eq $true -and
        $_.DistinguishedName -notlike "*ServiceAccounts*" -and  # Исключаем сервисные
        $_.DistinguishedName -notlike "*OU=Admins*"             # Исключаем админов
    }

Write-Host "Found $($inactive.Count) inactive accounts (> $InactiveDays days)" -ForegroundColor Yellow

foreach ($user in $inactive) {
    $lastLogon = [DateTime]::FromFileTime($user.LastLogonTimestamp)
    $info = "$($user.SamAccountName) | Last logon: $($lastLogon.ToString('dd.MM.yyyy')) | $($user.DistinguishedName)"
    
    if ($WhatIf) {
        Write-Host "[DRY RUN] Would disable: $info" -ForegroundColor Yellow
        continue
    }
    
    # Отключаем учётку
    Disable-ADAccount -Identity $user.SamAccountName
    
    # Перемещаем в OU "Disabled"
    Move-ADObject -Identity $user.DistinguishedName `
        -TargetPath "OU=Disabled,O