🥇Windows: selgitame, kes on kus sisse logitud

— Oh, mul on midagi ei tööta, aidake!
— Ärge muretsege, kohe parandame. Palun öelge arvuti nimi…
(klišee toote tugikõnedest)

Hea, kui teil on tööriist nagu BgInfo või teie kasutajad teavad Windows+Pause/Break klahvikombinatsiooni ja oskavad seda vajutada. Kohati kohtab isegi haruldasi isendeid, kes on suutnud oma masina nime meelde jätta. Kuid tihti lisandub helistaja peamise probleemiga veel teine: teada saada arvuti nimi/IP-aadress. Ja tihti kulub selle teise probleemi lahendamiseks palju rohkem aega kui esimese jaoks (aga tuli vaid taustapilti vahetada või kadunud otsetee taastada :)).
Aga palju toredam on kuulda midagi sellist:
— Tatjana Sergeevna, ärge muretsege, juba ühendan…

Ja selleks ei ole sugugi palju vaja.
Toote toe spetsialistil piisab, kui teada arvutite nimesid ja meeles pidada, kes millisega töötab.
Enne lahenduse kirjeldamist, mida me praegu kasutame, vaatan lühidalt üle teised variandid, et neid täiesti kokku kukutada selgitada oma valikut.

BgInfo, Desktop Info ja need sarnased. Kui raha on palju, on ka tasulisi. Oluline on see, et töölaua jaoks kuvatakse tehniline teave: masina nimi, IP-aadress, sisselogimise andmed jne. Desktop Info‘s saab isegi efektiivsuse graafikud poolele ekraanile paigutada.
Ei meeldi see, et sama Bginfo puhul peab kasutaja aknad minema vähendama, et näha vajalikke andmeid. Samuti oleme kolleegidega korduvalt täheldanud BgInfo-d. iseloomulik artefakt, kui uus tekst kuvatakse vana peale.
Mõned kasutajad häirib see, et administraatorid joonistavad hirmutava 192.168.0.123 looma näo, venitatud töölauale, mis rikub taustapildi esteetikat ja muidugi demotiveerib see väga ning tapab täielikult töömeeleolu.
Otsetee nagu „Kes ma olen“ (ärge proovige lisada sellele küsimärki :). Klassikaline otsetee töölaual, mille taga varjab korralik või mitte väga skript, mis kuvab vajaliku teabe dialoogiboksina. Mõnikord asetatakse otsetee asemel otse skript, mis minu arvates on kahtlane.
Puuduseks on see, et otsetee käivitamiseks, nagu ka esimeses variandis, tuleb kõik avatud aknad minimeerida (mänguhimu hävitaja, kellel töölaual on ainult üks akna pasjanss, ei loe). Muide, kas teie kasutajad teavad, kuhu vajutada, et kõik aknad minimeerida? Õige, sõrmega administratori silma.

Samuti vihjab kalle, et mõlema eespool kirjeldatud meetodi peamine puudus on see, et teabe hankimises osaleb kasutaja, kes võib olla pime, rumal ja lihtsalt valetada.
Varianti, kus tõstetakse arvutialase kirjaoskuse taset, arvestades, et kõigil on Windowsis oma masina nime leidmine teada, ma ei kaaluks: see on ülla ettevõtmine, kuid väga keeruline. Ja kui ettevõttes on käive, siis on see täielikult mõttetu. Mis seal rääkida, enamikul juhtudel ei mäletata isegi oma kasutajanime.

Hing välja voolanud, nüüd aga asja juurde.
Aluseks on võetud idee haukurite seast mittel kohast selle artikli.
Idee tuum on see, et kui kasutaja siseneb Windowsisse, siis logon-skripti käivitamisel kantakse vajalik teave (aeg ja masina nimi) kasutaja kontole määratud atribuudile. Ja süsteemist väljumisel käivitub analoogne logoff-skript.

Mulle meeldis idee, kuid rakendamisel oli mõned asjad, mis mind häirisid.

Gruppipoliitika, mis sisaldab kasutajate sisselogimis- ja välja logimise skripte, kehtib kogu domeeni ulatuses, mistõttu skripte käitatakse igal masinatel, kuhu kasutajad sisse logivad. Kui kasutate töökohaside kõrval terminalilahendusi (nt Microsoft RDS või Citrixi tooted), on selline lähenemine ebamugav.
Andmed salvestatakse kasutaja konto atribuudile Department, millele tavakasutajal on vaid lugemisõigus. Lisaks kasutaja konto atribuudile teeb skript muudatusi ka arvuti konto atribuudis Department, mida kasutajad vaikimisi muuta ei saa. Seetõttu, et lahendus töötaks, soovitab autor muuta AD objektide vaikeseadeid.
Kuupäeva formaat sõltub lõppmasina lokaliseerimise seadistustest, seega võime ühel masinal saada 10. november 2018 14:53, teiselt 11/10/18 2:53 p.m.

Nende puuduste kõrvaldamiseks tehti järgmist.

GPO ei linkita domeeni, vaid OU-le, kus asuvad masinad (ma eraldan kasutajad ja masinad erinevatesse OU-sse ja soovitan seda ka teistele). Sellega seoses on loopback policy processing mode seadistatud režiim merge.
Skript salvestab andmed ainult kasutaja konto atribuuti Info, mille kasutaja saab ise oma konto jaoks muuta.
Muutunud koodilõik, mis genereerib atribuudi väärtuse

Nüüd näevad skriptid välja sellised:
SaveLogonInfoToAdUserAttrib.vbs

On Error Resume Next
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(),vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "/" & strMonth & "/" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " " & " @ " & strComputerName
oUser.Setinfo

SaveLogoffInfoToAdUserAttrib.vbs

Viga jätkub järgmisega
Set wshShell = CreateObject("WScript.Shell")
strComputerName = wshShell.ExpandEnvironmentStrings("%COMPUTERNAME%")
Set adsinfo = CreateObject("ADSystemInfo")
Set oUser = GetObject("LDAP://" & adsinfo.UserName)
strMonth = Month(Now())
If Len(strMonth) < 2 then
  strMonth = "0" & strMonth
End If
strDay = Day(Now())
If Len(strDay) < 2 then
  strDay = "0" & strDay
End If
strTime = FormatDateTime(Now(), vbLongTime)
If Len(strTime) < 8 then
  strTime = "0" & strTime
End If
strTimeStamp = Year(Now()) & "\/" & strMonth & "\/" & strDay & " " & strTime
oUser.put "info", strTimeStamp & " " & " @ " & strComputerName
oUser.Setinfo

Kes leiab esimesena kõik erinevused logon- ja logoff-skripti vahel, sellele lisandub karmasse pluss. 🙂
Visuaalse teabe saamiseks on loodud ka selline väike PS-skript:
Get-UsersByPCsInfo.ps1

$OU = "OU=MyUsers,DC=mydomain,DC=com"
Get-ADUser -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Logonite teave" -Wait

Kokkuvõttes seadistamine on kiire ja lihtne:

looge GPO soovitud seadistustega ja linkige see kasutajate töökohaga seotud struktuurile:
minema teed jooma (kui AD sisaldab palju kasutajaid, siis peab teed olema palju 🙂
käivitame PS-skripti ja saame tulemuse:

Akna ülaosas on mugav filter, millega saab andmeid sorteerida ühe või mitu välja väärtuste järgi. Tippides tabeli veergudele sorteeritakse kirjed vastavate väljade väärtuste järgi.

Meie lahendust saab kenasti "pakendada".

Selleks lisame spetsialistidele tehnilises toes skripti käivitamiseks otsetee, mille objekti väljal on midagi sellist:
powershell.exe -NoLogo -ExecutionPolicy Bypass -File "servershareScriptsGet-UsersByPCsInfo.ps1"
Kui tehnilise toe töötajaid on palju, saab otseteed jagada kasutades GPP.

Mõned märkused lõpetuseks.

Masinas, kust PS-skript käivitatakse, peab olema paigaldatud PowerShelli Active Directory moodul (selleks piisab, kui lisada Windowsi komponente AD haldusvahendite seast).
Enamik oma konto atribuute ei saa kasutaja vaikimisi redigeerida. Arvestage sellega, kui otsustate kasutada muud atribuuti kui Info.
Teavita kõiki asjaosalisi kolleege, millist atribuuti kavatsete kasutada. Näiteks sama Info kasutatakse interaktiivsete märkmete lisamiseks Exchange Serveri administraatorite hoiukastidesse ning keegi võib selle hõlpsasti kustutada või olla kurb, kui teie skript kustutab tema lisatud teabe.
Kui teil on mitu Active Directory saidi, arvestage replikatsioonikõikumistega. Näiteks, kui soovite saada ajakohast teavet kasutajate kohta AD-saidil A ja käitate skripti AR-saidilt B, siis võite teha järgmist:
Get-ADUser -Server DCfromSiteA -SearchBase $OU -Properties * -Filter * | Select-Object DisplayName, SamAccountName, info | Sort DisplayName | Out-GridView -Title "Kasutajanimede teave" -Wait
DCfromSiteA — A saidi domeenikontrolleri nimi (vaikimisi ühendub cmdlet Get-AdUser lähima domeenikontrolleriga)

Piltide allikas