PowerShellによるActiveDirectory管理
――グループ管理編

PowerShellによるActiveDirectory管理（3）

グループを作成する

　ActiveDirectoryにグループを作成するにはNew-ADGroupコマンドレットを使用します。

新規グループを作成する

 　まず一番簡単なグループの作成方法を見てみましょう。NameパラメーターとGroupScopeパラメーターだけを指定して作成します。 GroupScopeパラメーターに指定できる値は下記のとおりです。

GroupScopeパラメーターに設定可能な値

グループのスコープ	値
ドメインローカル	Domain Local または 0
グローバル	Global または 1
ユニバーサル	Universal または 2

　下記はドメインローカルスコープを持つSystemAdminsという名前のグループを作成します。

グループを作成するコマンドの例

New-ADGroup -Name SystemAdmins -GroupScope DomainLocal

管理者を指定してグループを作成する

　ManagedByパラメーターを使用すると、オブジェクトを管理するユーザーやグループを指定することができます。パラメーターの値には、識別名、GUID、セキュリティ識別子、SAMアカウント名のいずれかを指定することができます。下記は、SAMアカウント名が「PowerShellfromJapan」というユーザーを管理者として指定する例です。

管理者を指定してグループを作成するコマンドの例

New-ADGroup -Name SystemAdmins -GroupScope DomainLocal -ManagedBy PowerShellfromJapan

OUを指定してグループを作成する

　Pathパラメーターを使用すると、作成先のOUを指定することができます。下記はcorp.contoso.comの「IT」というOUにSystemAdminsというグループを作成する例です。

OUを指定してグループを作成するコマンドの例

New-ADGroup -Name SystemAdmins -GroupScope DomainLocal -Path "OU=IT,DC=corp,DC=contoso,DC=com"

グループのプロパティを変更する

　グループのプロパティを変更するにはSet-ADGroupコマンドレットを使用します。

samAccountNameを指定してグループのプロパティを変更する

　samAccountNameを指定してグループのプロパティを変更するには

Set-ADGroup samAccountName パラメータ 値

とします。

　例えば、samAccountNameがITGroupの説明を「情報システムグループ」に変更する場合は下記のようにします。

samAccountNameを指定してグループのプロパティを変更するコマンドの例

Set-ADGroup ITGroup -Description "情報システムグループ"

コマンドレットパラメーターに関連付いていないプロパティ値を変更する

　先ほどの例のようにActiveDirectoryグループの説明は「Description」という専用のパラメーターで変更することができます。 しかし、メールアドレスや住所、電話番号といったプロパティ値は専用のパラメーターがないため、Add, Replaceといったパラメーターを使用して変更する必要があります。

　下記はITGroupというグループにメールアドレスを追加する例です。

Addパラメーターを使用してグループのプロパティを変更するコマンドの例

Set-ADGroup ITGroup -Add @{Mail='[e-mail]'}

オブジェクトを管理するユーザーやグループを指定する

　 オブジェクトを管理するユーザーやグループを追加するには、ManagedByパラメーターを使用します。パラメーターに渡す値は、識別名,GUID,セキュリティ識別子,SAMアカウント名のいずれかです。

　下記はオブジェクトを管理するユーザーとして”NaotoDate”を追加する例です。

管理グループを追加するコマンドの例

Set-ADGroup ITGroup -ManagedBy 'NaotoDate'