Windows: разбираме, кой къде е логнат

— Ой, нищо не работи, помогнете ми!
— Не се притеснявайте, сега всичко ще оправим. Кажете името на компютъра…
(класика в жанра на обажданията в техническа поддръжка)

Добре, ако имате инструмент като BgInfo или вашите потребители знаят за шортката Windows+Pause/Break и могат да я използват. Срещат се дори редки индивиди, които са успели да запомнят името на машината си. Но често обаждащият се, освен основния си проблем, получава и втори: да узнае името/IP адреса на компютъра. И не рядко решаването на този втори проблем отнема много повече време от първия (а всъщност просто трябваше да сменят тапета или да върнат изчезналия ярлык :.
А всъщност е много по-приятно да чуете нещо такова:
— Татьяна Сергеевна, не се беспокойте, вече се свързвам…

А за това не е нужно много.
На специалиста по техническа поддръжка му стига да запомни имената на машините и да помни кой на каква работи.
Преди да опиша решението, което използваме в момента, ще разгледам накратко и други варианти, за да ги разкритикувам в пух и прах и да обясня избора си.

1. BgInfo, Desktop Info и подобни. Ако имате много пари, има и платени. Същността им е, че на десктопа се извежда техническа информация: име на машината, IP адрес, потребителско име и т.н. В Desktop Info дори можете да добавите графики за производителност, които покриват половината от екрана.
   Не ми харесва това, че за същия Bginfo, например, потребителят трябва да минимизира прозорците, за да види нужната информация. Освен това, с колегите сме забелязвали неведнъж при BgInfo характерен артефакт, когато новият текст се извежда върху стария.
   Някои потребители се дразнят от факта, че администраторите пишат плашещото 192.168.0.123 върху лицето на котето, разтегнало се на работния плот, и това разваля естетиката на фонова картинка, и, разбира се, това е изключително демотивиращо и напълно убива работния настрой.
2. Ярлык а-ля «Кой съм аз» (не се опитвайте да добавяте въпросителен знак в края : ). Класически ярлык на работния плот, зад който се крие спретнат или не толкова скрипт, който извежда нужната информация под формата на диалогов прозорец. Понякога вместо ярлык на работния плот поставят самия скрипт, което, ИМХО, е лош вкус.
   Недостатъкът е, че за да се стартира ярлыкът, както и в първия случай, е необходимо да се свият всички отворени прозорци (да не броим капризите на съдбата, при които на работното място е отворен единствен прозорец с пасианс). Между другото, знаят ли вашите потребители къде да кликнат, за да свият всички прозорци? Точно така, с пръст в окото на администратора.

Също така, кэп подсказва, че и двата описани по-горе метода имат основен недостатък, който е, че в получаването на информация участва потребител, който може да е слабовиден, глупав и изобщо да излъже.
Не ще разглеждам варианта с повишаване на компютърната грамотност, при който всеки знае къде в Windows да провери името на компютъра си: делото е благородно, но много трудно. А ако в компанията има текучество на кадри, то изобщо е безнадеждно. Какво да говорим, в повечето случаи дори не си помнят логина.

Излях душата си, а сега към делото.
За основа беше взета идеята на хабровеца mittel от тази статия.
Същността на намерението е, че при входа на потребителя в Windows логон-скриптът записва необходимата информация (времето и името на машината) в определен атрибут на потребителската сметка. А при изхода от системата се изпълнява аналогичен логофф-скрипт.

Сама по себе си идеята ми хареса, но в реализацията нещо не ми допадна.

1. Груповата политика, в която са записани логон- и логофф-скриптове за потребителите, се прилага за целия домейн, така че скриптовете ще работят на всяка машина, на която потребителите влизат. Ако вие наред с работните станции използвате терминални решения (например, Microsoft RDS или продукти на Citrix), такъв подход ще бъде неудобен.
2. Данните се записват в атрибута Department на потребителската сметка, до която обикновеният потребител има достъп само за четене. Освен атрибута на потребителската сметка, скриптът също внася промени в атрибута Department на компютърната сметка, който по подразбиране потребителите също не могат да променят. Затова, за да работи решението, авторът предлага да се променят стандартните настройки за сигурност на обектите AD.
3. Форматът на датата зависи от настройките за локализация на крайната машина, така че от една машина можем да получим 10 ноември 2018 14:53, а от друга 11/10/18 2:53 p.m.

За да се отстранят тези недостатъци, беше направено следното.

1. GPO се свързва не с домейн, а с OU с машини (разделям потребителите и машините в различни OU и препоръчвам на другите). При това за режим на обработка на обратната политика е зададен режим обединение.
2. Скриптът ще записва данни само в профила на потребителя в атрибута Info, който потребителят може да променя самостоятелно за своя профил.
3. Променен е фрагмент от кода, генериращ стойността на атрибута

Сега скриптовете изглеждат така:
SaveLogonInfoToAdUserAttrib.vbs

On Error Resume Next
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(),vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "/" & strMonth & " /" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " " & " @ " & strComputerName
oUser.Setinfo

SaveLogoffInfoToAdUserAttrib.vbs

On Error Resume Next
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(),vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "/" & strMonth & " /" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " " & " @ " & strComputerName
oUser.Setinfo

Който пръв намери всички разлики между логон и лог оф скрипта, ще получи плюс в кармата. 🙂
Създаден е и такъв малък PS-скрипт за визуална информация:
Get-UsersByPCsInfo.ps1

$OU = "OU=MyUsers,DC=mydomain,DC=com"
Get-ADUser -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Информация по логона" -Wait

В заключение, всичко се настройва бързо:

1. създаваме GPO с необходимите настройки и го свързваме с подразделението с работни станции на потребителите:
   
2. отиваме да пием чай (ако AD има много потребители, ще ни трябва доста чай 🙂
3. стартираме PS-скрипт и получаваме резултата:
   
   В горната част на прозореца има удобен филтър, в който можем да избираме данни по стойности на едно или повече полета. Кликът по колоните на таблицата сортира записите по стойности на съответните полета.

Можем красиво да „опаковаме“ нашето решение.

За това ще добавим ярлык за стартиране на скрипта за специалистите по техническа поддръжка, в поле „обект“ ще бъде нещо такова:
powershell.exe -NoLogo -ExecutionPolicy Bypass -File "servershareScriptsGet-UsersByPCsInfo.ps1"

Ако служителите на техническата поддръжка са много, можете да раздадете ярлик с помощта на GPP.

Няколко забележки за финал.

• На компютъра, от който се стартира PS-скриптът, трябва да бъде инсталиран модулът Active Directory за PowerShell (за целта е достатъчно да добавите средство за администриране на AD в компонентите на Windows).
• По-голямата част от атрибутите на своята сметка потребителят по подразбиране не може да редактира. Имайте предвид това, ако решите да използвате атрибут, различен от Info.
• Информирайте всички заинтересовани колеги за това, кой атрибут ще използвате. Например, същият Info се използва за интерактивно добавяне на бележки към пощенската кутия на потребителя в админ панела на Exchange Server и някой лесно може да го заличи, или може да се разстрои, когато добавената от него информация бъде изтрита от вашия скрипт.
• Ако имате няколко сайта в Active Directory, направете поправка за закъсненията в репликацията. Например, ако искате да получите актуална информация за потребителите от AD-сайт A, а стартирате скрипта от машина от AD-сайт B, можете да направите така:
  Get-ADUser -Server DCfromSiteA -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Информация по логонам" -Wait

  DCfromSiteA — името на контролера на домейна на сайт A (по подразбиране командлетът Get-AdUser се свързва с най-близкия контролер на домейн)

Източник на картинки

Ще бъда благодарен, ако попълните кратка анкета по-долу.

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

С какво работите?

• bginfo, Desktop info и т.н. (безплатен софтуер)

• платени аналози на bginfo

• ще направя както е в статията

• не е актуално, тъй като използвам VDI/RDS и т.н.

• все още не използвам нищо, но обмислям

• не ми е необходимо да събирам такива данни

• друго (споделете в коментарите)

Гласували са 112 потребители. Задържали са се 39 потребители.

Източник: habr.com