在 Active Directory 环境中获得用户到计算机的可靠映射

Question

需要将用户分配到他们的工作站，以便为 Small Business Server 2011 中的远程工作网站分配计算机访问权限。为此，我需要一个可靠的用户工作站列表。这对于在新环境中进行发现也很方便，因此最好采用自动化或半自动化的方式。

关于如何实现这一目标的一些想法：

• 检查/解析域控制器上的安全审核日志，以将登录名与登录事件中的机器名相匹配。

• 编写一个登录脚本，将登录名和主机名回显到网络共享上的文件。

• 浏览 C$\Documents and Settings\ 或 c$\Users 寻找最近修改的 NTUser.dat

• 在 HK_USERS 中查找 SID 并（可能）查找上次登录时间。

• 四处走走，检查每个工作站名称（嘘！走！）

认为登录脚本可能是最免提和决定性的（还将显示用户是否在多台机器上，如果是，则需要考虑将两台机器添加到他们的配置文件中）。

有什么更好的吗？

注意：我应该说，当设置新的 SBS 服务器并使用http://connect加入域的方法时，它会将计算机添加到用户的远程访问选项卡 > 计算机列表中。但是，我们经常从现有 DC 或 SBS 服务器进行迁移，并且这种映射并不总是存在或准确。

Answer 1

login-script 方法是获得所需内容的最省力的方法。

我已经完成了第一种方法，该方法涉及在 PowerShell 中编写大量脚本，并且需要定期导出域控制器的安全事件日志。这种方法的优点是它会让每个人都了解登录脚本方法可能无法做到的一切；当我有近 3000 个活动的计算机对象时，这很重要。

对于您将使用数量级（或两台）更少的机器工作的 SBS，登录脚本方法可能是您最好的选择。您可能会得到一两个特殊的雪花，但这些应该很容易解决。