🥇Windows: saame teada, kes on kus sisse logitud

— Oi, mul ei toimi mitte miski, aidake!
— Ärge muretsege, me lahendame selle kohe. Palun öelge arvuti nimi…
(žanri klassika tehnilise toe kõnedes)

Hea, kui teil on tööriist nagu BgInfo või kui teie kasutajad teavad Windowsi + Pause/Break otseteed ja oskavad seda vajutada. Kohtab isegi haruldasi isendeid, kes on suutnud oma masina nime õppida. Kuid sageli on kõnelejal lisaks oma põhiprobleemile veel teine: teada saada arvuti nimi/IP-aadress. Ja tihti kulub selle teise probleemi lahendamiseks palju rohkem aega kui esimesele (kuigi tegelikult pidi ainult taustapilti vahetama või kadunud otsetee tagasi tooma :).
Aga palju meeldivam oleks kuulda midagi sellist:
— Tatjana Sergejevna, ärge muretsege, juba ühendun…

Selleks ei ole tegelikult palju vaja.
Tugiteenuse spetsialistile piisab vaid masinanime meeldejätmisest ja teadmisest, kes millega töötab.
Enne lahenduse kirjeldamist, mida me praegu kasutame, käsitlen lühidalt teisi variante, et neid kritiseerida selgelt selgitada oma valikut.

BgInfo, Desktop Info ja sarnased. Kui raha on piisavalt, siis on olemas ka tasulisi. Südamiks on see, et töölauale kuvatakse tehniline teave: masina nimi, IP-aadress, sisselogimise nimi jne. Desktop Info-s saab isegi jõudluse graafikud poole ekraani peale paigutada.
Ei meeldi see, et sama jaoks peab näiteks BgInfo puhul kasutaja aknad minimeerima, et vajalikud andmed näha oleks. Samuti oleme kolleegidega korduvalt märganud BgInfo puhul tüüpilist artefakti, kui uus tekst kuvatakse vana peale.
Mõningaid kasutajaid häirib, et administraatorid joonistavad hirmutava 192.168.0.123 venitatud töölauale kassipildi peale ja rikkuda taustapildi estetiikat, ja loomulikult demotiveerib see kohutavalt ja tapab täielikult töömotiivi.
Otsetee nagu „Kes ma olen“ (ärge proovige sellele küsimärk lisada : ). Klassikaline töölaua otsetee, mille taga peitub kena või mitte väga skript, mis kuvab vajalikku teavet dialoogaknas. Mõnikord asetatakse otsetee asemel otse skript, mis IMHO on maitse küsimus.
Puuduseks on see, et otsetee käivitamiseks, nagu ka esimeses juhul, tuleb kokku suruda kõik avatud aknad (laste õnne, kellel on töölaual avatud ainult üks aknasolitu, arvesse ei võeta). Muide, kas teie kasutajad teavad, kuhu vajutada, et kõik aknad kokku suruda? Täpselt, sõrmega silma adminile.

Samuti ütleb kape, et mõlema ülaltoodud meetodi peamine puudus on see, et teabe hankimises osaleb kasutaja, kes võib olla pisut pime, rumal ja üldiselt vale.
Arvan, et arvutikirjaoskuse tõstmine, kui kõik teavad, kust Windowsis oma arvuti nime vaadata, ei ole vajalik: see on üllas tegevus, kuid väga keeruline. Ja kui firmas on töötajate voolavus, siis on see üldse lootusetu. Mis seal rääkida, enamikul juhtudel ei mäletata isegi oma sisselogimist.

Vaatasin hinge välja ja nüüd asume asja kallale.
Aluseks oli idee Habr'i kasutajalt. mittel API-s selle artikli.
Idee on selles, et kui kasutaja siseneb Windowsi, lisab sisselogimisskript vajaliku teabe (aeg ja arvuti nimi) teatud kasutaja konto atribuudisse. Ja süsteemist väljudes töötab analoogne väljalogimisskript.

Mulle meeldis idee, kuid teostuses ei sobinud mõned asjad.

Grupipoliitika, milles on määratud sisselogimis- ja väljalogimisskripti kasutajad, kehtib kogu domeenile, seega skriptid toimivad igas masinas, kuhu kasutajad sisse logivad. Kui töötavad koos tööjaamad ja terminalilahendused (näiteks Microsoft RDS või Citrixi tooted), siis selline lähenemine on ebamugav.
Andmed kantakse kasutaja konto Department atribuudisse, millele tavakasutajal on ainult lugemisõigus. Peale kasutaja konto atribuudist muudab skript ka arvuti konto Department atribuuti, mida tavakasutajad vaikimisi muuta ei saa. Seega, et lahendus töötaks, soovitab autor muuta AD objektide vaikeseadeid.
Kuupäeva formaat sõltub lõppkasutaja masina lokaliseerimise seadetest, seega võime ühest masinas saada 10. november 2018 14:53, ja teisest 11/10/18 2:53 p.m.

Nende puuduste kõrvaldamiseks tehti järgmist.

GPO se ei seondu domeeni, vaid OU-ga koos masinatega (ma jagan kasutajaid ja masinaid erinevatesse OU-desse ja soovitan seda ka teistele). Sellega seoses on loopback policy processing mode seadistatud režiim merge.
Skript salvestab andmed ainult kasutaja konto atribuudiga Info, mida kasutaja saab ise muuta oma konto jaoks.
Muutunud on koodilõik, mis genereerib atribuudiväärtuse

Nüüd näevad skriptid välja sellised:
SaveLogonInfoToAdUserAttrib.vbs

On Error Resume Next
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(),vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "/" & strMonth & "/" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " " & " @ " & strComputerName
oUser.Setinfo

SaveLogoffInfoToAdUserAttrib.vbs

On Error Resume Next
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(),vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "/" & strMonth & "/" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " " & " @ " & strComputerName
oUser.Setinfo

Kes esimesena leiab kõik erinevused logon- ja logoff-skripti vahel, saab endale plussi karma. 🙂
Samuti on visuaalse teabe saamiseks loodud selline väike PS-skript:
Get-UsersByPCsInfo.ps1

$OU = "OU=MyUsers,DC=mydomain,DC=com"
Get-ADUser -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Logonite info" -Wait

Kokkuvõttes saab kõik seadistada kiiresti:

loome GPO soovitud seadistustega ja seome selle kasutajate tööjaamade allüksusega:
läheme teed jooma (kui AD-s on palju kasutajaid, siis on teed vaja palju 🙂
käivitame PS-skripti ja saame tulemuse:

Akna ülaosas on mugav filter, millega saab andmeid filtreerida ühe või mitme välja väärtuste järgi. Veergudele klikkimine sorteerib kirjeid vastavalt nende välja väärtustele.

Saame oma lahenduse ka kenasti "pakendada".

Selleks lisame tootespetsialistidele skripti käivitamiseks otsetee, mille "objekti" välja väärtus on midagi sellist:
powershell.exe -NoLogo -ExecutionPolicy Bypass -File "servershareScriptsGet-UsersByPCsInfo.ps1"
Kui tugiteenuste töötajaid on palju, saab otsetee jagada GPP.

Mõned lõppsõnad.

Masinas, kust PS-skripti käivitatakse, peab olema installitud Active Directory moodul PowerShelli jaoks (selleks piisab AD haldustööriistade lisamisest Windowsi komponentidesse).
Enamik oma konto atribuute ei saa kasutaja vaikimisi redigeerida. Arvestage seda, kui otsustate kasutada muud atribuut Info.
Teavitage kõiki osalisi kolleege, millist atribuuti kavatsete kasutada. Näiteks sama Info kasutatakse kasutaja postkasti administreerimisel Exchange Serveris interaktiivsete märkmete lisamiseks ja keegi võib selle kergesti kuhugi kaduma minna või olla kurb, kui teie skript kustutab tema lisatud teabe.
Kui teil on mitu Active Directory saiti, siis arvake sisse replikatsiooni viivitused. Näiteks kui soovite saada ajakohast teavet kasutajate kohta AD-sait A-lt, kuid käivitate skripti AD-sait B masinast, siis saate teha järgmist:
Get-ADUser -Server DCfromSiteA -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Logode kohta info" -Wait
DCfromSiteA — sait A domeeni kontrolleri nimi (vaikimisi ühendub Get-AdUser käsk lähima domeeni kontrolleriga)

Piltide allikas