WIndows AD

[Gast runtimerror]

Moin,

 

wir haben eine gewachsenes AD seit 2001, das immer wieder migriert wurde. Zwischenzeitlich gab es verschiedene IT-Dienstleister. Im Rahmen dessen fehlen oftmals Dokumentationen. Daraus resultiert mein aktuelles Problem, viele der globalen Adressgruppen sind wahrscheinlich nicht mehr notwendig und schon längst obsolet.

Gibt es ein Tool, das eine Verbindung zwischen globalen Gruppen und GPOs bzw. Gruppen und Berechtigungen auf Fileshares prüft und mir in ein Textdokument zurückgibt.

Mein bisheriges Vorgehen ,ist eher Trial and Error. Ich schaue welche Mitglieder diese Gruppe hat, dokumentiere dies und entferne alle Mitglieder. Daher ist in diesem Moment die Daseisnberechtigung der Gruppen obsolet. Das lasse ich 3 Monate so, entweder jemand meldet sich und ich erfahre wofür die Gruppe benötigt wird oder ich lösche Sie. Ca 20 obsolete Gruppen habe ich dadurch ermittelt.

Gibt es da von Microsoft von Haus aus etwas oder ist Power Shell notwendig, ich konnte bisher nichts dazu finden?

[Thanks-and-Goodbye]

Geht von der anderen Seite ran: Erst NTFS, dann mapping ins AD: schau dir die Tools von migRaven an.

[Gast runtimerror]

vor 42 Minuten schrieb Chief Wiggum:

Geht von der anderen Seite ran: Erst NTFS, dann mapping ins AD: schau dir die Tools von migRaven an.

Vielen Dank für deine Antwort:

 

Für den Fall verwaister Einträge auf den File-Servern (Benutzerkonto gelöscht bzw. globale Gruppe)  gibt es SubInACL (MS).

Aber wie sieht es im umgekehrten Fall aus, der Ordner auf den globale Gruppe G Zugriff hatte wurde gelöscht. Jetzt habe ich im AD eine globale Gruppen, die nicht mehr benötigt wird. Klar kann man den File-Server durchsuchen ob die genannte Gruppe irgendwo hinterlegt ist.

 

[Thanks-and-Goodbye]

vor 17 Minuten schrieb Gast runtimerror:

Klar kann man den File-Server durchsuchen ob die genannte Gruppe irgendwo hinterlegt ist.

Ja, dann machst du halt eine Negativliste... AD-Gruppen, die auf dem Fileserver keine Verwendung finden.

BTW: ich kann durchaus mitfühlen, einer meiner Vorgänger hat die Mailverteilergruppen aus dem AD für Ordnerberechtigungen auf dem Fileserver verwendet.