Windows: разберете кой къде е влязъл

- О, нищо не ми помага, помогнете!
Не се притеснявайте, сега ще го поправим. Назовете вашия компютър...
(класика на жанра от обаждания за техническа поддръжка)

Добре е, ако имате инструмент а ла BgInfo или вашите потребители знаят за прекия път Windows+Pause/Break и знаят как да го натиснат. Има дори редки екземпляри, които са успели да научат името на колата си. Но често обаждащият се, в допълнение към основния си проблем, има втори: да разбере името / IP адреса на компютъра. И често отнема много повече време за решаването на този втори проблем от първия (и просто трябваше да смените тапета или да върнете липсващия етикет :).
Но е много по-приятно да чуете нещо като:
- Татяна Сергеевна, не се притеснявайте, вече се свързвам ...

И не е нужно много за това.
Специалистът по техническа поддръжка трябва само да запомни имената на машините и да запомни кой за какво работи.
Преди да опиша решението, което използваме в момента, ще разгледам накратко други опции, за да ги критикувам до девет и да обясня избора си.

1. БгИнфо, информация за работния плот и подобни. Ако има много пари, има и платени. Основното е, че на работния плот се показва техническа информация: име на машина, IP адрес, данни за вход и т.н. В Desktop Info можете дори да намалите графиките на ефективността до половината от екрана.
   Не е подходящо, че за същата Bginfo, например, потребителят трябва да минимизира прозорците, за да види необходимите данни. Неведнъж с колегите наблюдавахме в BgInfo характерен артефакткогато новият текст се показва върху стария.
   Някои потребители се дразнят от факта, че администраторите рисуват плашещо 192.168.0.123 върху лицето на котка, опъната на работния плот, разваляйки естетиката на фоновото изображение и, разбира се, това е ужасно демотивиращо и напълно убива работното настроение .
2. Етикет а ла "Кой съм аз" (не се опитвайте да добавите въпросителен знак към него в края :)). Класически пряк път на работния плот, зад който е скрит чист или не много скрипт, който показва необходимата информация под формата на диалогов прозорец. Понякога, вместо пряк път, самият скрипт се поставя на работния плот, което IMHO е лош тон.
   Недостатъкът е, че за да стартирате прекия път, както в първия случай, трябва да минимизирате всички отворени прозорци (не вземаме предвид миньоните на съдбата, които имат един отворен прозорец на пасианс на работната си машина). Между другото, вашите потребители знаят ли къде да щракнат, за да минимизират всички прозорци? Точно така, пръст в окото на админа.

Капачката също така предполага, че и двата метода, описани по-горе, имат основния недостатък, че потребителят участва в получаването на информация, което може да бъде сляпо, глупаво и като цяло да лъже.
Няма да обмислям варианта за подобряване на компютърната грамотност, когато всеки знае къде в Windows да търси името на своята машина: това е благородно нещо, но много трудно. И ако компанията има текучество на персонал, тогава това е напълно катастрофално. Какво да кажа, в повечето случаи те дори не си спомнят входа си.

Излях си душата, а сега по същество.
За основа беше взета идеята за Хабровчанин Mittel на тази статия.
Същността на идеята е, че когато потребител влезе в Windows, скриптът за влизане въвежда необходимата информация (време и име на машина) в определен атрибут на потребителския акаунт. И когато излезете от системата, тя изпълнява подобен скрипт за излизане.

Самата идея ми хареса, но нещо не ми пасна в изпълнението.

1. Груповата политика, която дефинира скриптове за влизане и излизане за потребителите, се прилага за целия домейн, така че скриптовете ще се изпълняват на всяка машина, на която потребителите влизат. Ако използвате терминални решения заедно с работни станции (например продукти на Microsoft RDS или Citrix), този подход ще бъде неудобен.
2. Данните се въвеждат в атрибута Отдел на потребителския акаунт, до който стандартният потребител има достъп само за четене. В допълнение към атрибута на потребителския акаунт, скриптът също така променя атрибута отдел на акаунта на компютъра, който потребителите също не могат да променят по подразбиране. Следователно, за да работи решението, авторът предлага промяна на настройките за сигурност по подразбиране за AD обекти.
3. Форматът на датата зависи от настройките за локализация на целевата машина, така че можем да получим 10 ноември 2018 г. 14:53 от едната машина и 11/10/18 2:53 от другата

За отстраняване на тези недостатъци е направено следното.

1. GPO е свързан не с домейн, а с OU с машини (разделям потребителите и машините в различни OU и съветвам другите). В същото време за режим на обработка на политики за обратна връзка режимът е зададен се сливат.
2. Скриптът ще записва данни само в потребителския акаунт в атрибута Информация, които потребителят може да промени самостоятелно за своя акаунт.
3. Променен е фрагмент от код, който генерира стойност на атрибут

Сега скриптовете изглеждат така:
SaveLogonInfoToAdUserAttrib.vbs

On Error Resume Next
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(),vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "/" & strMonth & "/" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " <logon>" & " @ " & strComputerName
oUser.Setinfo

SaveLogoffInfoToAdUserAttrib.vbs

On Error Resume Next
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(),vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "/" & strMonth & "/" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " <logoff>" & " @ " & strComputerName
oUser.Setinfo

Който пръв открие всички разлики между скрипта за влизане и излизане, ще получи плюс в кармата. 🙂
Също така, за получаване на визуална информация, беше създаден такъв малък PS-скрипт:
Get-UsersByPCsInfo.ps1

$OU = "OU=MyUsers,DC=mydomain,DC=com"
Get-ADUser -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Информация по логонам" -Wait

Общо всичко е конфигурирано за едно-две-три:

1. създайте GPO с необходимите настройки и го свържете към отдела с потребителски работни станции:
   
2. хайде да пием чай (ако AD е с голям брой потребители, тогава имате нужда от много чай 🙂
3. стартирайте PS скрипта и получете резултата:
   
   В горната част на прозореца има удобен филтър, в който можете да изберете данни по стойностите на едно или повече полета. Щракването върху колоните на таблицата сортира записите по стойностите на съответните полета.

Можем красиво да „опаковаме“ нашето решение.

За да направите това, нека добавим пряк път за стартиране на скрипта за специалисти по техническа поддръжка, които ще имат нещо подобно в полето "обект":
powershell.exe -NoLogo -ExecutionPolicy Bypass -File "servershareScriptsGet-UsersByPCsInfo.ps1"

Ако има много служители от техническата поддръжка, можете да разпространите етикет с помощта на НЯМА ЗНАЧЕНИЕ.

Няколко последни бележки.

• Машината, от която се изпълнява PS скриптът, трябва да има инсталиран модул Active Directory за PowerShell (за целта е достатъчно да добавите инструментите за администриране на AD в компонентите на Windows).
• По подразбиране потребителят не може да редактира повечето от атрибутите на своя акаунт. Имайте това предвид, ако решите да използвате атрибут, различен от Информация.
• Информирайте всички участващи колеги за това кой атрибут ще използвате. Например същото Информация се използва за интерактивно добавяне на бележки към пощенската кутия на потребителя в административния панел на Exchange Server и някой може лесно да го презапише или да се натъжи, когато вашият скрипт презапише информацията, която е добавил.
• Ако имате няколко сайта на Active Directory, позволете забавяне на репликацията. Например, ако искате да получите актуална информация за потребителите от AD сайт A и стартирате скрипта от машина от AD сайт B, тогава можете да направите следното:
  Get-ADUser -Server DCfromSiteA -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Информация по логонам" -Wait

  DCfromSiteA - име на домейн контролер на сайт A (по подразбиране командата Get-AdUser се свързва с най-близкия домейн контролер)

Източник на изображението

Ще се радвам, ако попълните кратката анкета по-долу.

В анкетата могат да участват само регистрирани потребители. Впиши се, Моля те.

какво използваш

• bginfo, информация за работния плот и др. (безплатен софтуер)

• платени аналози на bginfo

• Ще направя както е в статията

• не е от значение, т.к Използвам VDI/RDS и т.н.

• Още нищо не съм ползвала, но си мисля

• Не е необходимо да събирам такива данни

• друго (споделете в коментарите)

112 потребители гласуваха. 39 потребители се въздържаха.

Източник: www.habr.com