ADグループの一時メンバーシップ

組織全体でのexeの実行を制限しています。しかし、正当化と承認に基づいて、ユーザーを（特定の）ADグループに24時間追加します。

現在、X時間後にそれらのADグループからユーザーを削除するプロセスは手動です。何らかの方法で自動化しようとしています。しかし、AD 2003内でこれをネイティブに処理する方法があるかどうか疑問に思っていました。これを処理する唯一の方法は、スクリプト（powershell / vbs）を書くことですか？

すべてのドメインコントローラと仮定すると、あなたが後でWindows Server 2003のですかできるネイティブのActive Directoryのでこれを行う動的なオブジェクト任意のスクリプトなしで機能を。

ユーザーアカウント「Bob」が24時間「Accounting」グループに属している必要があるとしましょう。

• 「会計24時間のボブ」グループを作成し、作成時entry-TTLに24時間（グループをActive Directoryに保持する期間）を指定します。

• 「会計24時間のボブ」を「会計」グループのメンバーとして追加します。

• 「Bob in Accounting 24 Hours」グループのメンバーとして「Bob」ユーザーアカウントを追加します。

「Bob」ユーザーアカウントの次のログオン時に、「Bob in Accounting 24 Hours」グループのネストされたグループメンバーシップを通じて「Accounting」グループに属する「Accounting」グループのメンバーになります。24時間の終わりに、すべてのドメインコントローラーは「Bob in Accounting 24 Hours」グループをガベージコレクションし、「Bob」は「Accounting」のメンバーではなくなります。

秘Theは、非動的オブジェクトは作成後に動的に変換できないことです。ただし、グループのネストを使用すると、この場合の制限を回避できます。

entry-TTLグループの作成時に設定する必要があるため、「Active Directoryユーザーとコンピューター」以外のツールを使用してグループを作成する必要があります。このブログエントリのスクリプトは、出発点（ユーザーオブジェクトを作成するために構築されている）である場合もあれば、単に使用するldifdeかcsvde作成することもできます。

これをいくつかの方法で処理できますが、AD固有のものはありません。

1. スクリプトを作成して、タスクスケジューラに配置します。現在のリストを使用して、ネットワーク上のどこかにテキストファイルまたはCSVを照会します。実行時にそのリストにない人を削除します。

2. System Center Orchestratorなどを使用してRunbookを作成し、ユーザーをグループに追加して、X時間後に自動的に削除します。

3. Outlookのリマインダーを作成して、人を手動で連れ出す:)