Windows: разбираме, кой къде е логнат

— О, нищо не работи при мен, помогнете!
— Не се притеснявайте, сега всичко ще оправим. Кажете името на компютъра…
(класика на жанра в обажданията до техническата поддръжка)

Добре, ако имате инструмент като BgInfo или вашите потребители знаят за шортката Windows+Pause/Break и могат да я натиснат. Срещат се дори редки екземпляри, които са успели да запомнят името на машината си. Но често в обаждането, освен основния проблем, се появява втори: да разберат името/IP адреса на компютъра. И често за решаването на този втори проблем отнема много повече време, отколкото за първия (а всъщност трябваше само да се сменят тапетите или да се върне изчезналият ярлик :().
А всъщност е много по-приятно да чуете нещо такова:
— Татяна Сергевна, не се притеснявайте, вече се свързвам…

А за това не е нужно толкова много.
На специалиста по техническа поддръжка му стига да запомни имената на машините и да знае кой за коя работи.
Преди да опиша решението, което използваме сега, ще разгледам накратко и други опции, за да критикувам ги в пух и прах да обясня избора си.

1. BgInfo, Desktop Info и подобни. Ако имате много пари, има и платени. Същността е, че на десктопа излиза техническа информация: името на машината, IP адреса, логин и т.н. В Desktop Info може дори да поставите графики за производителност на половината екран.
   Не ми харесва, че за същото Bginfo, например, потребителят трябва да свие прозорците, за да види нужните данни. Освен това с колегите многократно сме наблюдавали при BgInfo характерен артефакт, когато новият текст излиза върху стария.
   Някои потребители се дразнят от факта, че администраторите рисуват плашещо 192.168.0.123 на мордата на разтегнатия котка на работния плот, което разваля естетиката на фоновото изображение и, разбира се, това е ужасно демотивиращо и напълно убива работния дух.
2. Ярлик а-ля «Кой съм» (не се опитвайте да му добавяте въпросителен знак в края :). Класически ярлик на работния плот, зад който се крие подреден или не много скрипт, който извежда необходимата информация в диалогов прозорец. Понякога вместо ярлик на работния плот слагат самия скрипт, което ИМХО е неуместно.
   Недостатъкът е, че за стартиране на прякото стартиране, както и в първия случай, трябва да се минимизират всички отворени прозорци (не вземаме предвид късметлиите, които имат само един прозорец с пасианс на работната си машина). Между другото, знаят ли вашите потребители къде трябва да кликнат, за да минимизират всички прозорци? Правилно, с пръст в окото на администратора.

Също така, шефът подскава, че и двата описани по-горе метода имат основен недостатък, а именно, че в получаването на информация участва потребител, който може да е малко сляп, глупав и изобщо да излъже.
Не ще разглеждам варианта с повишаване на компютърната грамотност, при който всички знаят къде в Windows да проверят името на своя компютър: това е благородно дело, но много трудно. А ако в компанията има текучество на кадри, тогава е съвсем безнадеждно. Какво да говорим, в повечето случаи дори не помнят своя логин.

Излях душата си и сега към работата.
За основа е взета идеята на хабровеца mittel от тази статия.
Същността на замисъла е, че при вход на потребителя в Windows, логин скриптът записва необходимата информация (време и име на машината) в определен атрибут на потребителския акаунт. А при излизане от системата се изпълнява аналогичен лог-аут скрипт.

Идеята ми хареса, но в реализацията нещо не ми допадна.

1. Груповата политика, в която са записани логин и лог-аут скриптовете за потребителите, се прилага към целия домейн, така че скриптите ще се изпълняват на всяка машина, на която влизат потребителите. Ако освен работни станции се използват терминални решения (напр. Microsoft RDS или продукти на Citrix), такъв подход ще бъде неудобен.
2. Данните се записват в атрибута Department на потребителския акаунт, до който редовият потребител има достъп само за четене. Освен атрибута на потребителския акаунт, скриптът също така извършва промени в атрибута Department на компютърния акаунт, който по подразбиране потребителите също не могат да променят. Затова за да функционира решението, авторът предлага да се променят стандартните настройки за сигурност на обектите в AD.
3. Форматът на датата зависи от настройките на локализация на крайното устройство, така че от една машина можем да получим 10 ноември 2018 г. 14:53, а от друга 11/10/18 2:53 p.m.

За отстраняване на тези недостатъци бяха направени следните стъпки.

1. GPO не се свързва с домейн, а с OU с машини (разделям потребителите и машините в различни OU и съветвам другите). При това, за режим на обработка на обратно свързване на политиките е зададен режим merge.
2. Скриптът ще записва данни само в акаунта на потребителя в атрибута Информация, който потребителят може самостоятелно да променя за своя акаунт.
3. Променен е фрагментът от кода, който генерира стойността на атрибута

Сега скриптовете изглеждат така:
SaveLogonInfoToAdUserAttrib.vbs

On Error Resume Next
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(),vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "\/" & strMonth & "\/" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " " & " @ " & strComputerName
oUser.Setinfo

SaveLogoffInfoToAdUserAttrib.vbs

On Error Resume Next
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(),vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "\/" & strMonth & "\/" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " " & " @ " & strComputerName
oUser.Setinfo

Който пръв намери всички разлики между логон и логгаф скрипта, ще получи бонус в кармата. 🙂
Също така, за получаване на визуална информация е създаден следния малък PS скрипт:
Get-UsersByPCsInfo.ps1

$OU = "OU=MyUsers,DC=mydomain,DC=com"
Get-ADUser -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Информация по логините" -Wait

В крайна сметка всичко се настройва на един-два-три:

1. създаваме GPO с нужните настройки и го свързваме с подразделението с работните станции на потребителите:
   
2. отиваме да пием чай (ако AD има много потребители, чая е нужен в големи количества 🙂
3. стартираме PS скрипта и получаваме резултата:
   
   В горната част на прозореца има удобен филтър, в който можете да филтрирате данните по стойности на едно или няколко полета. Кликването по колоните на таблицата сортира записа по стойностите на съответните полета.

Можем да опаковаме нашето решение красиво.

За това добавяме ярлык за стартиране на скрипта за специалистите по техническа поддръжка, което в полето "обект" ще изглежда нещо такова:
powershell.exe -NoLogo -ExecutionPolicy Bypass -File "servershareScriptsGet-UsersByPCsInfo.ps1"

Ако има много служители на техническата поддръжка, можете да разпределите ярлик чрез GPP.

Няколко последни коментара.

• На машината, от която се изпълнява PS-скриптът, трябва да бъде инсталиран модул за Active Directory за PowerShell (достатъчно е да добавите средствата за администриране на AD в компонентите на Windows).
• По подразбиране потребителят не може да редактира повечето атрибути на своя акаунт. Имайте предвид това, ако решите да използвате атрибут, различен от Информация.
• Информирайте всички заинтересовани колеги за атрибута, който ще използвате. Например, същият Информация се използва за интерактивно добавяне на бележки към потребителската поща в админ панела на Exchange Server и някой лесно може да го изтрие или да се натъжи, когато информацията, добавена от него, бъде заменена от вашия скрипт.
• Ако имате няколко сайта Active Directory, имайте предвид закъсненията в репликацията. Например, ако искате да получите актуална информация за потребителите от AD сайта A, а изпълнявате скрипта от машина в AD сайта B, можете да направите следното:
  Get-ADUser -Server DCfromSiteA -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Информация по логонам" -Wait

  DCfromSiteA — името на контролера на домейна на сайта A (по подразбиране командлет Get-AdUser се свързва с най-близкия контролер на домейна)

Източник на изображения

Ще бъда благодарен, ако попълните кратката анкета по-долу.

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

С какво се ползвате?

• bginfo, Desktop info и т.н. (безплатен софтуер)

• платени алтернативи на bginfo

• ще направя така, както в статията

• не е актуално, тъй като използвам VDI/RDS и т.н.

• все още не използвам нищо, но обмислям

• не ми е нужно да събирам такива данни

• друго (споделете в коментарите)

Гласували са 112 потребители. 39 потребители са се въздържали.

Източник: habr.com