Active Directory中的Powershell安全身份映射/名称映射

Question

编写脚本来创建/更新Active Directory用户没有问题。现在需要为每个域用户添加名称映射，以便我们可以使用中央Kerberos身份验证。

PS：我使用的是QUEST Active Directory模块。

我在Powershell脚本中找不到任何可以实现此功能的内容。有人知道吗？它可以是任何语言，不一定是Powershell。我总是可以让Powershell与另一个脚本交谈以实现目标。

下面显示了手动添加名称映射的屏幕。

Answer 1

警告：映射帐户的确切语法是

Set-ADUser "Username" -Add @{'altSecurityIdentities'="Kerberos:ACCOUNT1@DOMAIN","Kerberos:ACCOUNT2@DOMAIN2"}

请务必在括号内添加'altSecurityIdentities'= 。

您可以使用-Add或-Replace，具体取决于您希望实现的目标。

希望这有帮助。

Answer 2

秘密是 altSecurityIdentities 属性。

我花了很多时间在网上寻找一种方法来做到这一点，我找不到答案。 This microsoft page是我需要的突破。

这就是我想出来的：

您可能必须在脚本开头Import-Module ActiveDirectory。 在下面的代码中，替换USERNAME，但保留引号。

这里我添加了2个Kerberos名称：

Set-ADUser -Identity "USERNAME" -Replace @{Kerberos:ACCOUNT1@DOMAIN,Kerberos:ACCOUNT2@DOMAIN}

我在这里插入X509证书和Kerberos名称：

Set-ADUser -Identity "USERNAME" -Replace @{X509:CERTIFICATEINFORMATION,Kerberos:ACCOUNT2@DOMAIN}

显然，您可以使用逗号分隔条目来添加或多于2。 以下命令我用来验证我是否成功添加了信息...但是手动映射用户并使用它来了解格式应该是什么样子可能会有所帮助：

Get-ADUser -Identity "USERNAME" -Properties * | select altSecurityIdentities

希望这有帮助！