Wie man gespeicherte Abfragen in ADUC MMC effektiv nutzt

Wie man gespeicherte Abfragen in der Active Directory-MMC besser nutzen kann

Ehrlich gesagt, kann die Suche nach AD-Objekten manchmal echt mühsam sein. Vor allem, wenn man alle deaktivierten Konten finden, bestimmte Computer herausfiltern oder eine Liste der Benutzer einer bestimmten Abteilung abrufen möchte. LDAP-Filter in der ADUC-Konsole sind zwar extrem leistungsstark, aber auch etwas umständlich – besonders für Einsteiger oder wenn es schnell gehen soll. Die gute Nachricht: Sobald man das Erstellen gespeicherter Abfragen verstanden hat, wird es deutlich einfacher. Man kann häufige Suchvorgänge speichern, sie nach Bedarf anpassen und regelmäßig verwenden, ohne jedes Mal alles von Grund auf neu erstellen zu müssen.

Nur zur Info: Aufgrund von Windows-Designmerkmalen erfordert das Erstellen und Verwalten dieser Abfragen manchmal etwas Ausprobieren. Auf manchen Systemen werden die Filter oder gespeicherten Abfragen möglicherweise nicht sofort angezeigt. Ein Neustart des Rechners oder das erneute Importieren der Abfragen kann Abhilfe schaffen. Insgesamt ist es aber eine praktische Möglichkeit, eine Momentaufnahme von AD-Objekten anhand der für Sie relevanten Kriterien zu erhalten. Im Folgenden werden die üblichen Vorgehensweisen für eine reibungslose Nutzung erläutert – inklusive einiger technischer Tipps.

So erstellen Sie eine gespeicherte Abfrage in der Active Directory MMC-Konsole

Öffnen Sie die Konsole und erstellen Sie eine neue Abfrage.

• Starten Sie zunächst die Active Directory-Benutzer und -Computer-Konsole ( dsa.msc).In den meisten Windows Server- oder RSAT-Installationen finden Sie diese unter „Verwaltung“ oder suchen Sie einfach danach. Klicken Sie mit der rechten Maustaste auf „ Gespeicherte Abfragen“ und wählen Sie „Neu“ > „Abfrage“.
• Hier benennen Sie Ihre Abfrage – geben Sie ihr einen aussagekräftigen Namen, z. B.„Aktive Nutzer im Vertrieb“.Nach dem Speichern wird dieser Name in der Liste angezeigt.
• Wählen Sie nun im Feld „Abfragestamm“ den Container aus (z. B.Ihre spezifische Organisationseinheit oder das Domänenstammverzeichnis).Wenn Sie dieses Feld leer lassen, wird überall gesucht, was bei einer sehr großen Domäne die Abfrage verlangsamen kann. Wählen Sie beispielsweise den Container „Brasilien“ aus, wenn Sie sich auf diesen konzentrieren.
• Klicken Sie auf „Abfrage definieren“ und wählen Sie dann im Dropdown-Menü „Suchen “ die Option „Benutzerdefinierte Suche“. Sie weisen Active Directory an, anhand Ihres LDAP-Filters nach bestimmten Objekten zu suchen.

LDAP-Abfragen mit Bedacht einsetzen

• Wechseln Sie zur Registerkarte „Erweitert“. Hier geschieht die Magie. Sie sehen ein Feld mit der Bezeichnung „LDAP-Abfrage eingeben“.
• Fügen Sie hier Ihren LDAP-Filter ein oder schreiben Sie ihn. Um beispielsweise aktivierte Benutzerkonten zu finden, könnten Sie Folgendes verwenden:

  (&(objectcategory=person)(objectclass=user)(!userAccountControl:1.2.840.113556.1.4.803:=2))

  Dieser Filter funktioniert, aber manchmal ist es knifflig, ihn richtig einzustellen. Vieles hängt davon ab, wonach man sucht.

• Klicken Sie auf OK, um die Abfrage zu speichern. Ihre Liste wird nun beim Aktualisieren oder Drücken von F5 mit übereinstimmenden Objekten gefüllt.

Anzeige- und Exportoptionen anpassen

• Möchten Sie E-Mail-Adressen, Abteilungen oder andere Attribute anzeigen? Gehen Sie im Konsolenmenü auf „ Ansicht“ > „Spalten hinzufügen/entfernen“. Fügen Sie die gewünschten Spalten per Drag & Drop hinzu. Bei manchen Konfigurationen hat dies funktioniert, bei anderen müssen Sie die Konsole möglicherweise neu starten, falls die Spalten nicht sofort angezeigt werden.
• Sie können Ihre Ergebnisse als CSV- oder TXT-Datei exportieren, indem Sie mit der rechten Maustaste auf die Liste klicken und „Liste exportieren“ auswählen.Äußerst praktisch für Berichte oder Audits.

Exportieren und wiederverwenden Sie gespeicherte Abfragen

Die gespeicherten Abfragen werden lokal gespeichert C:\Users\%USERNAME%\AppData\Roaming\Microsoft\MMC\DSA. Wenn Sie mehrere Rechner verwenden oder eine Sicherungskopie benötigen, exportieren Sie die Abfragen als XML über „Abfragedefinition exportieren“. Anschließend können Sie sie auf anderen Rechnern mit der Option „Abfragedefinition importieren“ importieren. Dadurch müssen Sie die Abfragen nicht jedes Mal von Grund auf neu erstellen.

Beispiele für nützliche LDAP-Abfragen für AD

Die Kenntnis einiger sofort einsatzbereiter LDAP-Filter kann viel Zeit sparen. Hier sind einige unserer Favoriten:

Verwendung von LDAP-Filtern in PowerShell

Wenn Sie PowerShell bevorzugen (und wer tut das nicht manchmal?), können Sie dieselben Filter auch mit Cmdlets wie `get` Get-ADUser, Get-ADComputer`get` oder `get` verwenden Get-ADObject. Geben Sie dazu einfach die LDAP-Zeichenfolge mit dem Parameter `-LdapFilter` an. Beispiel:

Get-ADUser -LdapFilter "(&(objectCategory=person)(objectClass=user)(department=*Sales*))" | ft -a DisplayName, department

Dieser einfache Ansatz ermöglicht es Ihnen, die Leistungsfähigkeit von Skripten mit ausgefeilten Filtern zu kombinieren. Sie müssen lediglich sicherstellen, dass Ihr LDAP-Filter korrekt ist und Ihren Anforderungen entspricht. Manchmal ist die Fehlersuche etwas mühsam, aber es lohnt sich, wenn Sie so das komplexe Suchproblem lösen können.

Zusammenfassend lässt sich sagen, dass das Erstellen, Speichern und Verwenden von LDAP-Abfragen in ADUC nicht immer ganz reibungslos verläuft, aber mit etwas Geduld ist es ein echter Gamechanger. Ob Sie deaktivierte Konten abrufen oder bestimmte Benutzergruppen auswählen – gespeicherte Filter beschleunigen die Arbeit erheblich.

Zusammenfassung

Hoffentlich reicht diese Übersicht aus, um Ihre gespeicherten LDAP-Abfragen problemlos zum Laufen zu bringen. Es ist etwas ungewöhnlich, aber sobald die Einrichtung abgeschlossen ist, läuft alles wie am Schnürchen. Denken Sie nur daran, eine Sicherungskopie Ihrer Abfrage-XML-Dateien anzulegen – Windows neigt nämlich dazu, Kleinigkeiten unnötig zu verkomplizieren. Aber was soll’s, ohne Fleiß kein Preis, oder?

Zusammenfassung

• In ADUC können Sie gespeicherte Abfragen für häufige Suchvorgänge einrichten.
• LDAP-Filter sollten mit Bedacht eingesetzt werden – testen und optimieren Sie sie, bis sie funktionieren.
• Exportieren Sie Abfragen, falls Sie diese verschieben müssen.
• Kombinieren Sie LDAP mit PowerShell für noch mehr Skripting-Magie.

Schlussgedanken

Dieser ganze Prozess mag etwas umständlich erscheinen, aber wenn man ihn richtig anwendet, spart er enorm viel Zeit. Ein oder zwei gezielte Abfragen reichten aus, um meinen gesamten regelmäßigen Wartungsbedarf zu decken. Hoffentlich hilft das auch jemandem, sich nicht allzu lange die Haare raufen zu müssen.