Problemas de sincronizacion NTP en redes con dominio.

Si el controlador de dominio que tiene el rol de PDC presenta problemas con la fecha/hora, se generarán problemas de resolución de nombre y fallos en handsake de kerberos, para solucionar esto debemos ejecutar los comandos siguientes:

En el PDC:

• w32tm /config /manualpeerlist:pool.ntp.org /syncfromflags:manual /reliable:yes
• w32tm /config /update
• net stop w32time && net start w32time
• w32tm /resync /rediscover

Nota: luego de ejecutar estos comandos es probable que debamos aguardar unos minutos para que la nueva configuración surta efecto, podemos ir verificando con el comando:

• w32tm /query /source

En el resto de controladores de dominio:

• w32tm /config /syncfromflags:domhier /reliable:no
• w32tm /config /update
• net stop w32time && net start w32time
• w32tm /resync /rediscover

En otros servidores miembros del dominio:

• w32tm /config /syncfromflags:domhier
• w32tm /config /update
• net stop w32time && net start w32time
• w32tm /resync /rediscover

Restaurar usuario eliminado de Active Directory

Para realizar esta tarea abrimos el Centro de Administración de Active Directory desde herramientas administrativos o desde el cuadro "ejecutar" llamado a dsac.exe

NOTA: Es importante que lo ejecutemos con un usuario que tenga privilegios totales de administración sobre el dominio.

Una vez abierto ubicamos el contenedor "Deleted Objets".

Allí veremos almacenadas los objetos eliminadas en los últimos 180 días, y podremos restaurarlos.

Editar atributos de Usuario en Active Directory via PowerShell

Editar atributos de usuarios vía PowerShell es de utilidad cuando la tarea que nos encargan es cambiarle y/o modificarle a una gran cantidad de usuarios detalles como el numero de teléfono, sector, oficina etc. 

Para hacer esto voy a mostrarles cuatro métodos, pero antes de comenzar es importante que tengan este listado a mano desde el cual podrán tomar nota del nombre del atributo extendido, conocido como lDAPDisplayName.

Los comandos mostrados a continuación deben ser ejecutados en una consola elevada de PowerShell desde un controlador de dominio o una terminal con los RSAT instalados. Al ejecutar el primer comando PowerShell cargará automaticamente el modulo de Active Directory; el mismo se instala en el equipo junto al roll de AD y/o junto a los RSAT.

Por Usuario:

Formato del Comando:

• Set-ADUser SAM -Replace @{lDAPDisplayName="Texto a Ingresar"}

En este ejemplo cambiaremos el campo "Oficina" del Usuario "JManzur":

• Set-ADUser JManzur -Replace @{physicalDeliveryOfficeName="Casa Central"}

Por Unidad Organizativa:

Tomamos nota del Distinguished Name de la UO:

Formato del Comando:

• Get-ADUser -SearchBase "OU=Users,DC=Dominio,DC=local" -Filter * | Set-ADUser -Replace @{lDAPDisplayName="Texto a Ingresar"}

En este ejemplo cambiaremos el campo "Oficina" de todos los usuarios alojados en la UO "Users":

• Get-ADUser -SearchBase "OU=Users,DC=Contoso,DC=local" -Filter * | Set-ADUser -Replace @{physicalDeliveryOfficeName="Casa Central"}

Por listado de usuarios especificados en un archivo .csv

Primeramente abrimos Notepad++ y creamos un archivo con el listado de usuarios en el siguiente formato:

Es importante que la primera linea tenga defino "usuario" (o cualquier otra descripción) ya que el comando buscara este atributo para reemplazarlo en orden consecutivo por los SAM de los usuarios que se listen debajo. Guardamos el archivo con extención .csv en un directorio que nos sea cómodo.

Formato del comando:

• cd C:\directorio\Que\Aloja\csv
• Import-Csv .\Nombre.csv | foreach{Set-ADUser $_.AtributoDefinidoEnCSV -Replace @{lDAPDisplayName="Texto a Ingresar"} -PassThru } | ft

En este ejemplo cambiaremos el campo "Oficina" de todos los usuarios listados en el archivo Usuarios.csv:

• cd C:\Users\manzurj\Desktop
• Import-Csv .\Usuarios.csv | foreach{Set-ADUser $_.usuario -Replace @{physicalDeliveryOfficeName="Casa Central"} -PassThru } | ft

Por listado de usuarios y contenido del atributo a modificar, especificados en un archivo .csv

En ese caso tendremos un archivo .csv que contendrá un listado de usuario y un listado del contenido a modificar/agregar en el atributo. Un ejemplo practico de esto es un listado de usuarios y su respectivos números de teléfono.

Armamos el .csv con el siguiente formato:

En este caso no utilizaremos como indicador del atributo el lDAPDisplayName sino el Property, también indicado en el .pdf de referencia al inicio del articulo.

Formato del Comando

• cd C:\directorio\Que\Aloja\csv  
• Import-Csv .\Nombre.csv | ForEach-Object {Set-ADUser -Identity $_.Atributo1DefinidoEnCSV -Property $_.Atributo2DefinidoEnCSV} -PassThru }

En este ejemplo editaremos el atributo personalizado "teléfono" para los usuarios listados en el .csv ingresando el numero indicado en el mismo archivo.

• cd C:\Users\manzurj\Desktop
• Import-Csv .\telefonos.csv | ForEach-Object {set-aduser -Identity $_.usuario -OfficePhone $_.telefono} -PassThru }

Exportar listado de Usuarios de Active Directory.

Si alguna vez te topaste con la necesidad de exportar un listado de usuarios de Active Directory, acá te presento dos métodos.

1. Utilizando PowerShell:

Ejecutando la siguiente linea de comando, desde la consola de powershell de un Controlador de dominio o desde cualquier pc usando los credenciales del administrador de dominio:

Para tu dominio:

Get-ADUser -Filter * -Properties Enabled, GivenName, Name, SamAccountName, SID, Surname, UserPrincipalName, Description, Office, TelephoneNumber, EmailAddress, Company | Select Enabled, GivenName, Name, SamAccountName, SID, Surname, UserPrincipalName, Description, Office, TelephoneNumber, EmailAddress, Company | Export-CSV "C:\Nombre.csv"

Clic en la imagen para agrandar.

Para un dominio en relación de confianza: 

Get-ADUser -Server "dominio.a.consultar" -Filter * -Properties Enabled, GivenName, Name, SamAccountName, SID, Surname, UserPrincipalName, Description, Office, TelephoneNumber, EmailAddress, Company | Select Enabled, GivenName, Name, SamAccountName, SID, Surname, UserPrincipalName, Description, Office, TelephoneNumber, EmailAddress, Company | Export-CSV "C:\Nombre.csv"

Como verán al final del comando se indica que exporte un archivo .csv a la ubicacion C:\

Truco 1: Para limitar la búsqueda a una UO especifica agrega antes del atributo "-Filter" el atributo "-SearchBase" seguido del "distinguishedName" de la UO, el cual puedes obtener así:

Clic en la imagen para agrandar.

Quedando el comando del siguiente modo:

Get-ADUser -Server "dominio.a.consultar" -SearchBase "OU=000,DC=000,DC=,000" -Filter * -Properties Enabled, GivenName, Name, SamAccountName, SID, Surname, UserPrincipalName, Description, Office, TelephoneNumber, EmailAddress, Company | Select Enabled, GivenName, Name, SamAccountName, SID, Surname, UserPrincipalName, Description, Office, TelephoneNumber, EmailAddress, Company | Export-CSV "C:\Nombre.csv"

Truco 2: Para organizar un poco el .csv, abranlo con excel, seleccionen la primera columna, navegen hasta Datos \ Texto a Columnas y eliminen "espacios" y "comas".

Para conocer más opciones del aplicativo Get-ADUser haga clic aqui.   

 

2. Utilizanod WiseSoft Bulk AD Users

Descarga el programa WiseSoft Bulk AD Users.

NOTA: Como requisito la PC en la que se ejecute el aplicativo debe tener instalado .Net Framework 3.5 y Office.

Una vez descargado el archivo en cualquier PC del dominio, descomprimelo y ejecuta BulkADUsers.exe, el programa es gratuito, pero te pedira un codigo de licencia, este paso simplemente ignoralo y continua..... Haz clic en File/Connect e ingresa tus credenciales de administrador de dominio.

Clic en la imagen para agrandar.

Antes de cargar el listado de usuarios, puedes editar las propiedades a cargar, desde "Grid\Properties to load":

Clic en la imagen para agrandar.

 Ahora podras obtener el listado de usuario de la UO que elijas.

Clic en la imagen para agrandar.

Y exportarlo a .txt, .csv y/o .xlsx el cual sin duda es el formato más conveniente ya que lo organiza todo en columnas.

Clic en la imagen para agrandar.

Listar cuentas de usuario bloqueadas en Active Directory.

Desbloquear usuarios es de las tareas sencillas más comunes con la que lidiamos diariamente los administradores de sistemas en entornos Windows con Active Directory.

A continuación les dejo un pequeño "atajo" para agrupar los usuarios bloqueados y agilizar esta tarea.

Abrimos "Usuarios y equipos de Active Directory"; vamos a consultas guardadas y creamos una nueva de la siguiente forma:

Asignamos un nombre de la consulta y vamos a:

1. Definir consulta.
2. Buscar: Búsqueda personalizada.
3. Opciones avanzadas.
4. Pegamos la cadena: (&(objectCategory=Person)(objectClass=User)(lockoutTime>=1))
5. Aceptamos en ambas ventanas.

De este modo, aislamos en una sola ventana todos los usuarios con cuentas bloqueadas:

Controlador de Dominio no muestra carpeta SYSVOL.

Para solucionarlo, siga estos pasos en el controlador de dominio que presenta el problema:

Detenga el servicio de replica, (desde una consola de comando con privilegios elevados) utilizando el comando "net stop ntfrs".

 
Navegue hasta la siguiente clave de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Ntfrs\Parameters\Backup\Restore\Process at Startup

Edite la clave "BurFlags" colocando el valor como "D2".

Inicia nuevamente la replica esta vez utilizando el comando "net start ntfrs".

Nota: Cambiar el valor a "D2" realiza una restauración "no autoritativa", pero si esto no soluciona el problema debemos realizar una restauración "autoritatva" utilizando el valor "D4". 

Transferir roles de Active Directory a otro Controlador de Dominio.

Primero identificamos el servidor que tiene todos los roles, ejecutando desde la consola el comando netdom query fsmo

Una vez identificado el/los servidores que tiene los roles, nos loguemos en él y desde la consola ejecutamos los siguientes comandos en orden:

ntdsutil
ntdsutil: roles
fsmo maintenance: connections
server connections: connect to server NombreDelNuevoServidor
server connections: q
fsmo maintenance: transfer naming master   (o... transfer domain naming master)
fsmo maintenance: transfer infrastructure master
fsmo maintenance: transfer PDC
fsmo maintenance: transfer RID master
fsmo maintenance: transfer schema master
fsmo maintenance: q
ntdsutil: q

Imagen referencial, muestra solo los primeros comandos.