PowerShell niveau 6 — Active Directory et serveurs Windows

# 1.
Get-ADDomain | Select-Object Name, DNSRoot, DistinguishedName
Get-ADDomainController -Filter * | Select-Object Name, IPv4Address, OperatingSystem

# 2.
Get-ADUser -Filter * -Properties Enabled | Group-Object Enabled | Select-Object Name, Count

# 3.
Get-ADUser -SearchBase "OU=Eleves,DC=lycee,DC=local" -Filter * -Properties LastLogonDate |
    Select-Object Name, SamAccountName, LastLogonDate | Sort-Object LastLogonDate

# 4.
Get-ADGroupMember "Admins du domaine" |
    Get-ADUser -Properties LastLogonDate |
    Select-Object Name, SamAccountName, LastLogonDate

Explication

Group-Object Enabled donne en une ligne le décompte actifs/désactivés. Le chaînage Get-ADGroupMember | Get-ADUser -Properties LastLogonDate fonctionne car les objets renvoyés portent l’identité attendue par la cmdlet suivante.

[CmdletBinding()]
param(
    [Parameter(Mandatory)][string]$FichierCsv,
    [string]$OuRacine = "OU=Eleves,DC=lycee,DC=local",
    [switch]$Simulation
)

function Remove-Accent {
    param([string]$Texte)
    ($Texte.Normalize([Text.NormalizationForm]::FormD) -replace "\p{Mn}", "")
}

$motDePasse = Read-Host "Mot de passe initial commun (maquette uniquement)" -AsSecureString
$eleves = Import-Csv $FichierCsv -Delimiter ";" -Encoding UTF8

$rapport = foreach ($e in $eleves) {
    if (-not $e.Nom -or -not $e.Prenom -or -not $e.Classe) {
        [PSCustomObject]@{ Ligne = "$($e.Nom) $($e.Prenom)"; Etat = "Ligne incomplète" }
        continue
    }

    $base = (Remove-Accent ($e.Prenom.Substring(0,1) + $e.Nom)).ToLower() -replace "[^a-z0-9]", ""
    $identifiant = $base
    $n = 1
    while (Get-ADUser -Filter "SamAccountName -eq '$identifiant'" -ErrorAction SilentlyContinue) {
        $n++
        $identifiant = "$base$n"
    }

    $ouClasse = "OU=$($e.Classe),$OuRacine"
    $groupe = "GRP_$($e.Classe)"

    if ($Simulation) {
        [PSCustomObject]@{ Identifiant = $identifiant; Ou = $ouClasse; Groupe = $groupe; Etat = "Simulation" }
        continue
    }

    if (-not (Get-ADOrganizationalUnit -Filter "DistinguishedName -eq '$ouClasse'")) {
        New-ADOrganizationalUnit -Name $e.Classe -Path $OuRacine
    }
    if (-not (Get-ADGroup -Filter "Name -eq '$groupe'")) {
        New-ADGroup -Name $groupe -GroupScope Global -GroupCategory Security -Path $ouClasse
    }

    try {
        New-ADUser -Name "$($e.Prenom) $($e.Nom)" -GivenName $e.Prenom -Surname $e.Nom `
            -SamAccountName $identifiant -UserPrincipalName "$identifiant@lycee.local" `
            -Path $ouClasse -AccountPassword $motDePasse -ChangePasswordAtLogon $true `
            -Enabled $true -ErrorAction Stop
        Add-ADGroupMember -Identity $groupe -Members $identifiant
        [PSCustomObject]@{ Identifiant = $identifiant; Ou = $ouClasse; Groupe = $groupe; Etat = "Créé" }
    }
    catch {
        [PSCustomObject]@{ Identifiant = $identifiant; Ou = $ouClasse; Groupe = $groupe; Etat = "Erreur : $($_.Exception.Message)" }
    }
}

$rapport | Export-Csv "rapport-rentree.csv" -Delimiter ";" -Encoding UTF8 -NoTypeInformation
$rapport | Group-Object Etat | Select-Object Count, Name

Explication

Le script cherche un identifiant libre dans l’annuaire, et non dans le seul fichier : c’est indispensable puisque des comptes existent déjà. Le mode simulation renvoie exactement les mêmes objets que le mode réel, ce qui permet de comparer avant d’agir.

Pour aller plus loin

Ajoute une colonne Etat dans un fichier de reprise : en relançant le script avec ce fichier, tu ne retraites que les lignes en erreur.

# 1.
$limite = (Get-Date).AddDays(-90)
Get-ADUser -Filter "Enabled -eq '$true'" -Properties LastLogonDate, whenCreated |
    Where-Object { -not $_.LastLogonDate -or $_.LastLogonDate -lt $limite } |
    Select-Object Name, SamAccountName, LastLogonDate, whenCreated

# 2.
"Admins du domaine", "Administrateurs de l'entreprise", "Administrateurs du schéma" | ForEach-Object {
    $groupe = $_
    Get-ADGroupMember -Identity $groupe -Recursive -ErrorAction SilentlyContinue |
        Select-Object @{N = "Groupe"; E = { $groupe }}, Name, objectClass
}

# 3.
Get-ADUser -Filter * -Properties Description |
    Where-Object { $_.Description -match "(?i)(mot de passe|mdp|pass)" } |
    Select-Object Name, SamAccountName, Description

# 4.
$tous = Get-ADUser -Filter * -Properties Enabled, LastLogonDate
[PSCustomObject]@{
    Actifs       = ($tous | Where-Object Enabled).Count
    Desactives   = ($tous | Where-Object { -not $_.Enabled }).Count
    Dormants90j  = ($tous | Where-Object { $_.Enabled -and (-not $_.LastLogonDate -or $_.LastLogonDate -lt $limite) }).Count
    Admins       = (Get-ADGroupMember "Admins du domaine" -Recursive).Count
}

Explication

-Recursive sur Get-ADGroupMember déplie les groupes imbriqués : un compte peut être administrateur sans figurer directement dans le groupe. C’est précisément ce que cherchent les attaquants, et ce que les audits oublient.

Pour aller plus loin

# Version indépendante de la langue, par identifiant de sécurité bien connu
$domaine = (Get-ADDomain).DomainSID.Value
Get-ADGroup -Identity "$domaine-512" | Get-ADGroupMember -Recursive

function New-MotDePasse {
    param([int]$Longueur = 14)
    $alphabet = [char[]]"abcdefghjkmnpqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ23456789!@#%*"
    -join (1..$Longueur | ForEach-Object { $alphabet | Get-Random })
}

# Dans la boucle de création :
$clair = New-MotDePasse
$securise = ConvertTo-SecureString $clair -AsPlainText -Force
New-ADUser @parametres -AccountPassword $securise -ChangePasswordAtLogon $true

# Fichier de remise, à imprimer puis détruire
[PSCustomObject]@{ Identifiant = $identifiant; MotDePasseInitial = $clair } |
    Export-Csv "remise-eleves.csv" -Append -Delimiter ";" -Encoding UTF8 -NoTypeInformation

Ce fichier de remise est le point sensible du script : il contient des mots de passe en clair. Il doit être créé dans un dossier à accès restreint, imprimé puis supprimé immédiatement, et jamais envoyé par messagerie. Comme les comptes exigent un changement à la première connexion, sa durée de vie utile est de quelques heures.

Explication

Un mot de passe différent par élève est la seule approche acceptable : un mot de passe commun signifie que chacun peut se connecter au compte des autres pendant les premières heures. L’alphabet exclut les caractères ambigus (I, l, 1, O, 0) pour limiter les erreurs de saisie lors de la remise.

Pour aller plus loin

Pour aller plus loin, génère un courrier de remise individuel (un fichier par élève) plutôt qu’un tableau global : la distribution est alors plus facile à cloisonner.