שילוב של Active Directory עם Google SecOps

במאמר הזה מוסבר איך לשלב את Active Directory עם Google Security Operations.

תרחישים לדוגמה

השילוב של Active Directory משתמש ביכולות של Google SecOps כדי לתמוך בתרחישים הבאים:

  • להפעיל ולהשבית משתמשים: להשבית חשבון משתמש שעלול להיות בסיכון ולמנוע גישה לא מורשית נוספת.

  • איפוס סיסמאות: איפוס אוטומטי של סיסמת המשתמש ב-Active Directory ושליחת הודעה למשתמש על השינוי.

  • ניהול קבוצות: מוסיפים משתמשים חדשים לקבוצות האבטחה המתאימות לפי התפקיד שלהם, ומוודאים שיש להם את הרשאות הגישה הנכונות.

  • אחזור פרטי משתמש: אחזור פרטי משתמש כמו חברות בקבוצות, זמן ההתחברות האחרון ופרטים ליצירת קשר של חשבון משתמש ספציפי.

  • אוטומציה של תהליך סיום העסקה: השבתת חשבונות, הסרה שלהם מקבוצות והעברת בעלות על קבצים כשעובד מסיים את העסקתו.

לפני שמתחילים

לפני שמגדירים את השילוב של Active Directory ב-Google SecOps, צריך לוודא שסביבת הרשת, Active Directory Domain Services ‏ (AD DS) ופרטי הכניסה לחשבון השירות עומדים בכל הדרישות המוקדמות לתפעול.

כדי להכין את הסביבה לשילוב, צריך לבצע את הפעולות הבאות:

  1. מוודאים שיש קישוריות לרשת ופענוח DNS בין המכונה של Google SecOps (או הסוכן המרוחק) לבין בקרי הדומיין של Active Directory.

  2. אופציונלי: אם מתחברים באמצעות LDAPS (יציאה 636, נדרשת לאיפוס סיסמאות) באמצעות רשות אישורים פנימית, מגדירים את אישור ה-CA על ידי קידוד אישור הבסיס או אישור הביניים למחרוזת base64.

  3. יוצרים חשבון שירות ייעודי של Active Directory בהתאם לעיקרון של הרשאות מינימליות.

  4. כדי לדעת אילו מאפיינים וזכויות גישה נדרשים לפעולות הספציפיות שאתם מתכננים להריץ, קראו את המאמר הרשאות שנדרשות לביצוע פעולות.

  5. הקצאת הרשאות ביחידות הארגוניות המיועדות לפעולות שבהן אתם מתכננים להשתמש (באמצעות Active Directory Users and Computers או PowerShell ו-dsacls), ולוודא שלחשבון השירות יש גישת קריאה וכתיבה מפורשת למאפיין userAccountControl.

דרישות רשת ו-DNS

‫Google SecOps מתקשר ישירות עם בקרי דומיינים של Active Directory באמצעות Lightweight Directory Access Protocol‏ (LDAP או LDAPS) דרך TCP.

חשוב לוודא שסביבת הרשת עומדת בכללי הקישוריות הבאים:

  • קישוריות ליציאות: ודאו שחומות האש והניתוב ברשת מאפשרים תקשורת יוצאת מ-Google SecOps (או מהסוכן המרוחק) לבקרי הדומיין של Active Directory ביציאות הבאות:

    • ‫LDAP (רגיל): פותחים את יציאה 389/TCP לתקשורת LDAP לא מוצפנת.
    • ‫LDAPS (מומלץ – חובה לסיסמאות): פותחים את יציאה 636/TCP (או את יציאת ה-SSL/TLS בהתאמה אישית). כדי להצפין את התנועה בספרייה, צריך להשתמש ב-LDAPS. חובה להשתמש ב-LDAPS גם כשמשנים סיסמאות.

  • רזולוציה של DNS ושם מארח: Active Directory דורש רזולוציה מדויקת של שם המארח כדי להתאים לאישורי SSL/TLS ולקישורי שירות ספריות. אם הדומיין שלכם פוענח על ידי שם DNS שמוגדר במלואו דרך הגדרת ה-DNS הפנימית, אין צורך בהגדרת מארח נוספת. אם פענוח ה-DNS לא זמין בקובץ האימג' של הקונטיינר של הסוכן המרוחק, מגדירים את הקובץ /etc/hosts.

הגדרת הקובץ /etc/hosts

ההגדרה הזו היא אופציונלית. אם בקר הדומיין כבר פותר את הבעיה באמצעות הגדרת ה-DNS הפנימית, אפשר לדלג על הקטע הזה. אם הנציג המרוחק לא יכול לפתור את בקר הדומיין של Active Directory באמצעות DNS, ממפים את המארח באופן ידני בקובץ /etc/hosts כך שיתאים לאישורי SSL/TLS ולכבילות של שירות הספריות.

כדי להגדיר את הקובץ /etc/hosts:

  1. פותחים את /etc/hosts בכלי לעריכת טקסט עם הרשאות אדמין:

    sudo vi /etc/hosts

  2. מוסיפים רשומה שממפה את כתובת ה-IP של בקר הדומיין לשם הדומיין שמוגדר במלואו (FQDN):

    192.0.2.195 dc01.example.local

  3. שומרים וסוגרים את הקובץ.

אם אתם לא צריכים אישור CA בשביל השילוב, אתם יכולים להמשיך להגדרת הדרישות לאימות ולחשבון השירות. אם לא, מגדירים את אישור ה-CA.

הגדרת אישור ה-CA

השלב הזה הוא אופציונלי. אם אתם מתחברים באמצעות LDAP רגיל (יציאה 389) או משתמשים באישור מהימן שזמין לכולם, דלגו על הקטע הזה ועברו אל דרישות לאימות ולחשבון שירות. אם אתם מתחברים דרך LDAPS (יציאה 636, שנדרשת לאיפוס סיסמאות) באמצעות אישור שהונפק על ידי רשות אישורים פרטית או פנימית, צריך לספק את מחרוזת האישור בקידוד base64 במהלך ההגדרה כדי ליצור חיבור TLS מהימן.

כדי להגדיר ולהעלות את אישור ה-CA, מבצעים את השלבים הבאים:

  1. מקודדים את קובץ האישור בפורמט PEM:

    • Linux: bash base64 -w 0 mycert.crt

    • macOS: bash base64 -i mycert.crt

  2. מעתיקים את כל מחרוזת הפלט (כולל כותרות מקודדות) ומדביקים אותה בשדה CA Certificate File - parsed into Base64 String בהגדרת השילוב של Google SecOps.

  3. מגדירים את הפרמטר Server ל-FQDN של בקר הדומיין (לא כתובת ה-IP שלו), כדי ששם המארח יהיה תואם לשם הנפוץ (CN) או לשם החלופי של הבעלים (SAN) באישור.

  4. לוחצים על בדיקה כדי לאמת את לחיצת היד בפרוטוקול TLS.

דרישות לגבי אימות וחשבונות שירות

השילוב של Active Directory מאמת באמצעות פרטי כניסה רגילים של AD DS.

חשוב לוודא שהגדרת האימות תואמת לשיטות האבטחה הבאות:

  • חשבון שירות ייעודי: יוצרים חשבון שירות ייעודי (כמו svc_secops_ad) במיוחד לפלייבוקים האוטומטיים של Google SecOps. אל תשתמשו בחשבונות משתמשים אינטראקטיביים או בחשבונות אדמין מובנים בדומיין.

  • פורמט שם המשתמש: אפשר לספק את שם המשתמש בתור שם ראשי של משתמש (UPN) (למשל svc_secops@example.local) או בתור שם כניסה ברמה נמוכה יותר (EXAMPLE\svc_secops).

  • PoLP: אל תוסיפו את חשבון השירות לקבוצות מובנות עם הרשאות, כמו Domain Admins, ‏ Enterprise Admins או Account Operators. במקום זאת, תנו הרשאות פרטניות ביחידות ארגוניות ספציפיות שבהן נמצאים אובייקטים של משתמשים, מחשבים או קבוצות.

הגדרת הרשאות לפעולות (הרשאות מינימליות)

צריך לתת לחשבון השירות המאמת רק את ההרשאות של Active Directory ואת הגישה למאפייני LDAP שנדרשות לפעולות הספציפיות שאתם מתכננים להריץ.

בטבלה הבאה מפורטות ההרשאות המינימליות לפעולות ב-Active Directory:

שם הפעולה הרשאה נדרשת ב-AD DS / זכות מורחבת סוג אובייקט היעד תיאור / היקף המאפיין
פינג Read Property משתמש, הרמה הבסיסית (root) של הדומיין שליחת שאילתה לאובייקט של חשבון השירות שהוגדר (sAMAccountName, userPrincipalName, mail) כדי לאמת את הקישוריות לספרייה ואת פרטי הכניסה.
העשרת ישויות
  • List Contents
  • Read Property (מאפייני יעד: userAccountControl, sAMAccountName, mail, memberOf, lockoutTime, pwdLastSet)
 משתמש, מחשב, קבוצה שליחת שאילתות לגבי מאפייני משתמשים ומחשבים ופתרון חברויות בקבוצות מקוננות. צריך להגדיר את Read Property ב-userAccountControl כדי למנוע שגיאות של אינדקס ריק.
השבתת החשבון
  • Read Property: userAccountControl
  • Write Property: userAccountControl
 משתמש קורא ומגדיר את הדגל ACCOUNTDISABLE (0x0002) באובייקט של משתמש היעד.
הפעלת החשבון
  • Read Property: userAccountControl
  • Write Property: userAccountControl
 משתמש קורא ומנקה את הדגל ACCOUNTDISABLE (0x0002) באובייקט של משתמש היעד.
השבתת המחשב
  • Read Property: userAccountControl
  • Write Property: userAccountControl
 מחשב קורא ומגדיר את הדגל ACCOUNTDISABLE באובייקט של מחשב היעד.
הפעלת המחשב
  • Read Property: userAccountControl
  • Write Property: userAccountControl
 מחשב קורא ומנקה את הדגל ACCOUNTDISABLE באובייקט המחשב המטורגט.
שחרור חשבון נעול
  • Read Property: lockoutTime
  • Write Property: lockoutTime
 משתמש קורא את המאפיין lockoutTime ומגדיר אותו ל-0 כדי לבטל את הנעילה של חשבון משתמש נעול.
אילוץ עדכון סיסמה
  • Read Property: pwdLastSet
  • Write Property: pwdLastSet
 משתמש קורא את המאפיין pwdLastSet ומגדיר אותו כ-0 כדי לדרוש מהמשתמש לשנות את הסיסמה בכניסה הבאה.
הגדרת סיסמת משתמש
  • זכות מורחבת: Reset Password (User-Force-Change-Password)
  • (אופציונלי) Write Property: unicodePwd
 משתמש מאפס את הסיסמה של משתמש היעד. נדרש LDAPS (יציאה 636) או StartTLS.
הוספת משתמש לקבוצה
  • Read Property: member
  • Write Property: member
 קבוצה הוספת השם הייחודי (distinguishedName) של משתמש היעד למאפיין member של הקבוצה.
הסרת משתמש מקבוצה
  • Read Property: member
  • Write Property: member
 קבוצה הסרת השם הייחודי (distinguishedName) של משתמש היעד מהמאפיין member של הקבוצה.
שינוי היחידה הארגונית של המשתמש
  • ‫Delete Child Object (משתמש) ביחידה הארגונית (OU) המקורית
  • ‫Create Child Object (משתמש) ביחידה הארגונית שמוגדרת כיעד
  • Write Property: name, distinguishedName
 יחידה ארגונית, משתמש העברת אובייקטים של משתמשים בין יחידות ארגוניות באמצעות LDAP modify_dn.
שינוי היחידה הארגונית של המארח
  • Delete Child Object (מחשב) ביחידה הארגונית המקורית
  • ‫Create Child Object (מחשב) ביחידה הארגונית שמוגדרת כיעד
  • Write Property: name, distinguishedName
 יחידה ארגונית, מחשב העברת אובייקטים של מחשבים בין יחידות ארגוניות באמצעות LDAP modify_dn.
עדכון מאפיינים של משתמש AD Write Property במאפייני טירגוט (כמו mail, title, department, telephoneNumber, description או manager) משתמש משנה ערכי מאפיינים שצוינו באובייקט המשתמש המטורגט.
עדכון מאפיינים של מארח AD Write Property במאפייני יעד (כמו description או location) מחשב משנה ערכי מאפיינים שצוינו באובייקט המחשב המטורגט.
קבלת חברי הקבוצה
  • List Contents
  • Read Property: member, sAMAccountName, distinguishedName
 קבוצה, משתמש, מחשב שליחת שאילתות לגבי חברות בקבוצה ומאפייני חשבון של חברים.
קבלת הפרטים ליצירת קשר עם המנהל
  • Read Property: manager
  • ‫Read Property: cn, telephoneNumber, mail, displayName, title
 משתמש קורא את המאפיין manager מאובייקט המשתמש ביעד ומאחזר את הפרטים ליצירת קשר של המנהל.
Is User In Group
  • Read Property: memberOf, sAMAccountName
 משתמש, קבוצה בודקת אם חשבון משתמש שייך לקבוצת האבטחה או לקבוצת ההפצה שצוינה.
רשימת קבוצות המשתמשים
  • Read Property: memberOf, sAMAccountName
 משתמש, קבוצה החזרת רשימה של כל הקבוצות שהוקצו לחשבון המשתמש שצוין.
חיפוש ב-Active Directory
  • List Contents
  • ‫Read Property במאפיינים שבוצעה בהם שאילתה
 משתמש, מחשב, קבוצה, יחידה ארגונית (OU) מריצה שאילתות של מסנני LDAP בהתאמה אישית על עץ המשנה של הספרייה.

הקצאת הרשאות ב-Active Directory

כדי לאכוף את עיקרון ההרשאה המינימלית בלי להעניק זכויות ניהול רחבות, צריך להקצות הרשאות ביחידות ארגוניות (OU) באמצעות מסוף ADUC הגרפי או כלי שורת הפקודה PowerShell ו-dsacls. צריך להשתמש רק באחת מהשיטות האלה, וצריך להקצות רק את ההרשאות שנדרשות לפעולות הספציפיות שאתם מתכננים להריץ.

הקצאת הרשאות באמצעות ADUC

אם אתם מעדיפים להשתמש בממשק גרפי, אתם יכולים להשתמש באשף Delegation of Control ב-ADUC כדי להקצות הרשאות לאובייקטים ולמאפיינים ספציפיים.

מריצים את האשף ביחידה הארגונית המיועדת כדי להעניק את ההרשאות לאובייקטים ולמאפיינים שנדרשות לפעולות שרוצים לבצע (כמו קריאה וכתיבה של דגלי בקרת חשבון, איפוס סיסמאות או ביטול נעילה של חשבונות).

במאמר של מיקרוסופט בנושא הקצאת הרשאות ב-AD DS מוסבר איך להפעיל את האשף.

הקצאת הרשאות באמצעות PowerShell ו-dsacls

אם אתם מעדיפים גישה של שורת פקודה או רוצים להפוך את הקצאות ההרשאות לאוטומטיות, השתמשו ב-PowerShell עם כלי השירות המובנה dsacls.exe במקום ב-ADUC.

מריצים רק את פקודות הדוגמה שרלוונטיות לפעולות שרוצים לבצע בתחנת עבודה אדמיניסטרטיבית או בבקר דומיין, ומחליפים את היחידה הארגונית (OU) ואת שם חשבון השירות ביעדים הרצויים:

  • מעניקים הרשאות קריאה וכתיבה ב-userAccountControl לאובייקטים של משתמשים (כדי להפעיל או להשבית חשבונות משתמשים ולמנוע שגיאות העשרה): powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;user"
  • מעניקים הרשאות קריאה וכתיבה ב-userAccountControl לאובייקטים של מחשבים (כדי להפעיל או להשבית מחשבים): powershell dsacls.exe "OU=Computers,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;computer"
  • הענקת הרשאות לביטול הנעילה של החשבון (lockoutTime): powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;lockoutTime;user"
  • הענקת הרשאות לשינוי סיסמה כפוי (pwdLastSet): powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;pwdLastSet;user"
  • נותנים הרשאות לאיפוס סיסמה (הרשאה מורחבת Reset Password): powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:CA;Reset Password;user"
  • כדי לתת הרשאות לשינוי החברות בקבוצת אבטחה: powershell dsacls.exe "CN=SecOps-Quarantine,OU=Groups,DC=example,DC=local" /G "EXAMPLE\svc_secops_ad:RPWP;member;group"

למידע נוסף על תחביר ומתגי פרמטרים, קראו את המאמר של מיקרוסופט בנושא dsacls.

פרמטרים של שילוב

כדי לשלב את Active Directory, צריך להגדיר את הפרמטרים הבאים:

פרמטר תיאור
Server

חובה.

שם המארח, שם ה-DNS או כתובת ה-IP של שרת ה-Active Directory. השילוב מתקשר באמצעות פרוטוקול LDAP.

כדי להשתמש ביציאה מותאמת אישית, מוסיפים אותה לכתובת (למשל mydomain.com:636).

כברירת מחדל, השילוב משתמש ביציאה 636 כש-SSL/TLS מופעל, וביציאה 389 כשהוא מושבת.
Username

חובה.

שם המשתמש או כתובת האימייל של המשתמש שמתחבר ל-Active Directory, למשל DOMAIN\username או user@example.com.

הפרמטר הזה מקבל גם את המאפיין userPrincipalName.
Password

חובה.

הסיסמה לחשבון המשתמש.
Domain

חובה.

נתיב ה-DNS המלא לדומיין שלכם במרחב השמות של הרשת.

מזינים את שם הדומיין שמוגדר במלואו (FQDN) בפורמט הבא: SUBDOMAIN.ROOT_DOMAIN.

לדוגמה, אם הדומיין הפנימי של Active Directory הוא example.local, ה-FQDN שצריך להזין הוא example.local. אם הדומיין הפנימי של Active Directory הוא corp.example.com, ה-FQDN שצריך להזין הוא corp.example.com.
Custom Query Fields

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של שדות Active Directory בהתאמה אישית שרוצים לכלול בשאילתות, כמו customField1, customField2.
CA Certificate File - parsed into Base64 String

זה שינוי אופציונלי.

מחרוזת קובץ אישור ה-CA בקידוד Base64, שמתקבלת כשמגדירים את אישור ה-CA. צריך לספק את הערך המלא.
Use SSL

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, השילוב מאמת את אישור ה-SSL כשמתחברים ל-directory server של Active Directory ומשתמש ב-LDAPS מאובטח (יציאה 636).

אם לא בוחרים באפשרות הזו, המערכת משתמשת ב-LDAP רגיל (יציאה 389).
Debug Logging

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, השילוב מתעד מידע מפורט על תוצאות ניפוי הבאגים של פעולות ב-Active Directory.

איך מגדירים שילובים ב-Google SecOps

אם צריך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של אינטגרציה, אפשר להשתמש בו בפלייבוקים. במאמר תמיכה במספר מופעים מוסבר איך להגדיר מספר מופעים ולתמוך בהם.

פעולות

מידע נוסף על פעולות זמין במאמרים מענה לפעולות בהמתנה משולחן העבודה והפעלה ידנית של פעולה בבקשת התמיכה.

הוספת משתמש לקבוצה

משתמשים בפעולה Add User To Group כדי להוסיף משתמשים מהבקשה לקבוצה אחת או יותר ב-Active Directory, למשל הוספת חשבון לקבוצת גישה מוגבלת במהלך חקירה. הפעולה מזהה באופן אוטומטי את משתמשי היעד מהפנייה ומוסיפה אותם לקבוצות שצוינו.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

הפעולה Add User To Group דורשת את הפרמטרים הבאים:

פרמטר תיאור
Group Name

חובה.

רשימה מופרדת בפסיקים של קבוצות שאליהן רוצים להוסיף משתמשים.

ערכי פלט של פעולות

הפעולה הוספת משתמש לקבוצה מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה הוספת משתמש לקבוצה יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully added the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID

The following users were already a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID

 הפעולה בוצעה בהצלחה.
Action wasn't able to add the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שלחשבון השירות יש הרשאה לשנות את המאפיין member בקבוצת היעד.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ושמזהי הישויות תואמים לשמות משתמשים או לכתובות אימייל תקינות.
The following groups were not found in Active Directory: GROUP_NAME

הפעולה נכשלה בקבוצות שצוינו.

צריך לבדוק את האיות של שמות הקבוצות בפרמטר Group Name ולוודא שהקבוצות קיימות בדומיין שהוגדר.
No users were added to the group "GROUP_NAME" in Active Directory.

הפעולה נכשלה בקבוצה שצוינה.

צריך לוודא שמשתמשי היעד קיימים ב-Active Directory, ושלחשבון השירות יש הרשאת כתיבה לקבוצה שצוינה.
No users were added to the provided groups in Active Directory.

הפעולה נכשלה.

צריך לוודא שהבקשה מכילה ישויות User תקינות ושהקבוצות שצוינו קיימות ב-Active Directory.
Error executing action "Add User To Group". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטרים של הקלט או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה הוספת משתמש לקבוצה:

שם תוצאת הסקריפט ערך
is_success true או false

שינוי היחידה הארגונית של המארח

אפשר להשתמש בפעולה Change Host OU כדי להעביר מחשבים ביחידה הארגונית (OU) ליחידה ארגונית אחרת ב-Active Directory, למשל להעביר מכונה שנפגעה ליחידה ארגונית בהסגר עם כללי מדיניות מוגבלים. הפעולה מזהה באופן אוטומטי את מחשבי היעד מהבקשה ומעבירה אותם ליחידה הארגונית שצוינה כיעד.

הפעולה הזו פועלת בישות Hostname של Google SecOps.

קלט של הפעולה

הפעולה שינוי היחידה הארגונית של המארח דורשת את הפרמטרים הבאים:

פרמטר תיאור
OU Name

חובה.

השם של היחידה הארגונית המארחת החדשה.

ערכי פלט של פעולות

הפעולה שינוי היחידה הארגונית של המארח מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה שינוי היחידה הארגונית המארחת יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Changed OU for the following hosts: ENTITY_ID הפעולה בוצעה בהצלחה.
Failed to change OU for the following hosts : ENTITY_ID

הפעולה נכשלה במארחים שצוינו.

צריך לוודא שהיחידה הארגונית של היעד קיימת, ושלחשבון השירות יש הרשאה להעביר אובייקטים של מחשבים בין היחידה הארגונית של המקור לבין היחידה הארגונית של היעד.
The following hosts were not found in Active Directory: ENTITY_ID

הפעולה נכשלה במארחים שצוינו.

מוודאים שחשבונות המחשב קיימים ב-Active Directory ותואמים לישויות Hostname בבקשה.
The action didn't change OU on any hosts.

הפעולה נכשלה.

צריך לוודא שמחשבי היעד והיחידה הארגונית (OU) של היעד קיימים ב-Active Directory, ושלחשבון השירות יש הרשאות להעביר את חשבונות המחשב.
Error executing action "Change Host OU". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטר OU Name או את פרטי הכניסה לחשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט הסקריפט כשמשתמשים בפעולה שינוי היחידה הארגונית המארחת:

שם תוצאת הסקריפט ערך
is_success true או false

שינוי היחידה הארגונית של המשתמש

אפשר להשתמש בפעולה שינוי היחידה הארגונית של המשתמש כדי להעביר משתמשים באירוע ליחידה ארגונית אחרת ב-Active Directory, למשל להעביר חשבון ליחידה ארגונית מוגבלת במהלך אירוע או תהליך עבודה של סיום העסקה. הפעולה מזהה באופן אוטומטי את משתמשי היעד מהבקשה ומעבירה אותם ליחידה הארגונית שצוינה.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

הפעולה שינוי היחידה הארגונית של המשתמש דורשת את הפרמטרים הבאים:

פרמטר תיאור
OU Name

חובה.

השם של היחידה הארגונית של המשתמש החדש.

ערכי פלט של פעולות

הפעולה שינוי היחידה הארגונית של המשתמש מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה שינוי היחידה הארגונית של המשתמש יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Changed OU for the following users: ENTITY_ID הפעולה בוצעה בהצלחה.
Failed to change OU for the following users : ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

צריך לוודא שהיחידה הארגונית של היעד קיימת, ושלחשבון השירות יש הרשאה להעביר אובייקטים של משתמשים בין היחידות הארגוניות של המקור והיעד.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
The action didn't change OU on any users.

הפעולה נכשלה.

צריך לוודא שמשתמשי היעד והיחידה הארגונית (OU) של היעד קיימים ב-Active Directory, ושלחשבון השירות יש הרשאות להעביר את חשבונות המשתמשים.
Error executing action "Change User OU". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטר OU Name או את פרטי הכניסה לחשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה שינוי היחידה הארגונית של המשתמש:

שם תוצאת הסקריפט ערך
is_success true או false

השבתת החשבון

משתמשים בפעולה Disable Account כדי להשבית חשבונות משתמשים ב-Active Directory. הפעולה הזו מטרגטת באופן אוטומטי את המשתמשים שמצורפים לבקשת התמיכה.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה Disable Account מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Disable Account יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Disabled account for the following users: ENTITY_ID הפעולה בוצעה בהצלחה.
Failed to disable account for the following users: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שלחשבון השירות יש הרשאות קריאה וכתיבה למאפיין userAccountControl בחשבונות המשתמשים המטורגטים, ושהמשתמשים הם לא חשבונות אדמין מוגנים.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
No users were disabled in Active Directory.

הפעולה נכשלה.

מוודאים שבבקשה יש ישויות User תקינות, ושלחשבון השירות יש הרשאה להשבית את חשבונות היעד.
Error executing action "Disable Account". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Disable Account:

שם תוצאת הסקריפט ערך
is_success true או false

השבתת המחשב

הפעולה השבתת מחשב משמשת להשבתת חשבונות מחשב ב-Active Directory כדי למנוע ממכונות שנפרצו או לא מורשות לבצע אימות בדומיין. הפעולה מטרגטת באופן אוטומטי את שמות המארחים שמצורפים לבקשה.

הפעולה הזו פועלת בישות Hostname של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה Disable Computer מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Disable Computer יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully disabled the following computers in Active Directory: ENTITY_ID

The following computers were already disabled in Active Directory: ENTITY_ID

 הפעולה בוצעה בהצלחה.
Action wasn't able to disable the following computers in Active Directory: ENTITY_ID

הפעולה נכשלה במחשבים שצוינו.

מוודאים שלחשבון השירות יש הרשאות קריאה וכתיבה למאפיין userAccountControl באובייקטים של מחשב היעד.
The following computers were not found in Active Directory: ENTITY_ID

הפעולה נכשלה במחשבים שצוינו.

מוודאים שחשבונות המחשב קיימים ב-Active Directory ותואמים לישויות Hostname בבקשה.
No computers were disabled in Active Directory.

הפעולה נכשלה.

צריך לוודא שבבקשה יש ישויות Hostname תקינות, ושלחשבון השירות יש הרשאה להשבית את חשבונות המחשב הרלוונטיים.
Error executing action "Disable Computer". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה השבתת המחשב:

שם תוצאת הסקריפט ערך
is_success true או false

הפעלת החשבון

משתמשים בפעולה Enable Account כדי להפעיל מחדש חשבונות משתמשים מושבתים ב-Active Directory. הפעולה מטרגטת באופן אוטומטי את המשתמשים שמצורפים לפנייה.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה הפעלת החשבון מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Enable Account יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully enabled the following users in Active Directory: ENTITY_ID

The following users were already enabled in Active Directory: ENTITY_ID

 הפעולה בוצעה בהצלחה.
Action wasn't able to enable the following users in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שלחשבון השירות יש הרשאות קריאה וכתיבה למאפיין userAccountControl בחשבונות המשתמשים ביעד.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
No users were enabled in Active Directory.

הפעולה נכשלה.

מוודאים שבבקשה יש ישויות User תקינות, ושלחשבון השירות יש הרשאה להפעיל את חשבונות היעד.
Error executing action "Enable Account". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Enable Account:

שם תוצאת הסקריפט ערך
is_success true או false

הפעלת המחשב

כדי להפעיל מחדש חשבונות מחשב שהושבתו ב-Active Directory, אתם יכולים להשתמש בפעולה Enable Computer. כך המכונות יוכלו לאמת שוב את הדומיין. הפעולה מטרגטת באופן אוטומטי את שמות המארחים שמצורפים לבקשת התמיכה.

הפעולה הזו פועלת בישות Hostname של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה Enable Computer מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Enable Computer יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully enabled the following computers in Active Directory: ENTITY_ID

The following computers were already enabled in Active Directory: ENTITY_ID

 הפעולה בוצעה בהצלחה.
Action wasn't able to enable the following computers in Active Directory: ENTITY_ID

הפעולה נכשלה במחשבים שצוינו.

מוודאים שלחשבון השירות יש הרשאות קריאה וכתיבה למאפיין userAccountControl באובייקטים של מחשב היעד.
The following computers were not found in Active Directory: ENTITY_ID

הפעולה נכשלה במחשבים שצוינו.

מוודאים שחשבונות המחשב קיימים ב-Active Directory ותואמים לישויות Hostname בבקשה.
No computers were enabled in Active Directory.

הפעולה נכשלה.

מוודאים שבבקשה יש ישויות Hostname תקינות, ושלחשבון השירות יש הרשאה להפעיל את חשבונות המחשב הרלוונטיים.
Error executing action "Enable Computer". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה הפעלת המחשב:

שם תוצאת הסקריפט ערך
is_success true או false

העשרת ישויות

משתמשים בפעולה Enrich Entities כדי לאחזר את פרטי הפרופיל, סטטוס החשבון והחברויות בקבוצות של משתמשים ומחשבים ב-Active Directory. אתם יכולים להעשיר ישויות בכל המידע הזמין בספרייה, או להגביל את התוצאות ואת טבלת ה-Case Wall למאפיינים ספציפיים.

הפעולה הזו היא אסינכרונית. אם צריך, משנים את ערך הזמן הקצוב לתפוגה של הסקריפט ב-IDE של Google SecOps לפעולה.

הפעולה Enrich Entities פועלת על הישויות הבאות ב-Google SecOps:

  • User
  • Hostname

קלט של הפעולה

הפעולה Enrich Entities דורשת את הפרמטרים הבאים:

פרמטר תיאור
Mark Entities as Internal

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה מסמנת באופן אוטומטי את הישויות שהועשרו בהצלחה כישויות פנימיות.

מופעלת כברירת מחדל.
Create Case Wall Table

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה יוצרת טבלה ב-Case Wall שמכילה את המאפיינים שאוחזרו מ-Active Directory לכל ישות מועשרת.

מופעלת כברירת מחדל.
Specific Attribute Names To Enrich With

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של שמות מאפיינים להעשרת הישויות.

אם לא תספקו ערך, הפעולה תעשיר את הישויות בכל המאפיינים הזמינים. אם מאפיין מכיל כמה ערכים, הפעולה מעשירה את המאפיין בכל הערכים הזמינים.

הפרמטר הזה תלוי אותיות רישיות.
Should Case Wall Table be filtered by the specified Attributes?

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה מאכלסת את הטבלה של קיר הבקשה רק במאפיינים שצוינו ב-Specific Attribute Names To Enrich With.
Should JSON result be filtered by the specified Attributes?

זה שינוי אופציונלי.

אם האפשרות הזו נבחרת, תוצאת ה-JSON מחזירה רק מאפיינים שצוינו ב-Specific Attribute Names To Enrich With.

ערכי פלט של פעולות

הפעולה Enrich Entities מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר יש גישה
טבלת העשרת ישויות יש גישה
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
שולחן קונסולה צמוד לקיר

הפעולה Enrich Entities מספקת את הטבלה הבאה ב-Case Wall כשבוחרים באפשרות Create Case Wall Table:

  • שם הטבלה: Report for: <var class="readonly">ENTITY_ID</var>
  • עמודות: שמות וערכים של מאפייני Active Directory שאוחזרו עבור הישות (או סוננו לפי הפרמטר Specific Attribute Names To Enrich With אם נבחרה האפשרות Should Case Wall Table be filtered by the specified Attributes?).
העשרת ישויות

הפעולה Enrich Entities תומכת בהעשרת הישויות הבאות:

שם שדה ההעשרה לוגיקה
AD_primaryGroupID הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_logonCount הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_cn הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_countryCode הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_objectClass הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_userPrincipalName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_adminCount הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_lastLogonTimestamp הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_manager הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_instanceType הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_distinguishedName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_dSCorePropagationData הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_msDS-SupportedEncryptionTypes הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_objectSid הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_whenCreated הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_uSNCreated הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_lockoutTime הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_badPasswordTime הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_pwdLastSet הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_sAMAccountName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_objectCategory הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_lastLogon הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_objectGUID הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_whenChanged הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_badPwdCount הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_accountExpires הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_displayName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_name הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_memberOf הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_codePage הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_userAccountControl הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_sAMAccountType הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_uSNChanged הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_sn הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_givenName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_lastLogoff הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
תוצאת JSON

בדוגמה הבאה מוצג פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Enrich Entities:

[
    {
        "EntityResult": {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["user@example.com"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["GUID"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example user"],
            "name": ["user"],
            "memberOf": ["CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"]
        },
        "Entity": "user@example.com"
    }
]
הודעות פלט

הפעולה Enrich Entities יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Active Directory Permalink: SERVER

Enriched the following Users ENTITY_ID

Enriched the following Hosts ENTITY_ID

All entities were enriched.

 הפעולה בוצעה בהצלחה.
The following entities were not found in Active Directory: ENTITY_ID

הפעולה נכשלה בישויות שצוינו.

מוודאים שחשבונות המשתמשים או המארחים קיימים ב-Active Directory ותואמים למזהי הישויות באירוע.
Failed to enrich the following Users ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שלחשבון השירות יש הרשאה לקרוא מאפיינים (כולל userAccountControl) בחשבונות המשתמשים המטורגטים, ובודקים אם קיימים מאפיינים מותאמים אישית ב-Active Directory.
Failed to enrich the following Hosts ENTITY_ID

הפעולה נכשלה במארחים שצוינו.

צריך לוודא שלחשבון השירות יש הרשאה לקרוא מאפיינים (כולל userAccountControl) בחשבונות המחשב המטורגטים, ולוודא שכל המאפיינים המותאמים אישית קיימים ב-Active Directory.
No entities were enriched.

הפעולה נכשלה.

מוודאים שהבקשה מכילה ישויות User או Hostname תקינות שקיימות ב-Active Directory.
Error executing action "Enrich Entities". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את שדות השאילתה בהתאמה אישית או את פרטי הכניסה לחשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה העשרת ישויות:

שם תוצאת הסקריפט ערך
is_success true או false

אילוץ עדכון סיסמה

משתמשים בפעולה אילוץ עדכון סיסמה כדי לדרוש מהמשתמשים לשנות את הסיסמה שלהם בפעם הבאה שהם נכנסים לחשבון. הפעולה מטרגטת באופן אוטומטי את המשתמשים שמצורפים לבקשה.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה עדכון סיסמה מאולץ מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה עדכון סיסמה כפוי יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Forced password update on next logon for the following users: ENTITY_ID הפעולה בוצעה בהצלחה.
Failed to force password update on next logon for the following users: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שלחשבון השירות יש הרשאות קריאה וכתיבה למאפיין pwdLastSet בחשבונות המשתמשים המטורגטים.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
Password update wasn't forced on any users.

הפעולה נכשלה.

צריך לוודא שהבקשה מכילה ישויות User תקינות, ושלחשבון השירות יש הרשאה לעדכן את הגדרות התפוגה של הסיסמה.
Error executing action "Force Password Update". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה עדכון סיסמה ידני:

שם תוצאת הסקריפט ערך
is_success true או false

קבלת חברי הקבוצה

משתמשים בפעולה Get Group Members כדי להציג את רשימת המשתמשים, המחשבים או שניהם ששייכים לקבוצה ספציפית ב-Active Directory. אפשר גם לצמצם את החיפוש ליחידה ארגונית ספציפית או לקבוצת אם, ולכלול חברים מקבוצות משנה מוטמעות.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה Get Group Members דורשת את הפרמטרים הבאים:

פרמטר תיאור
Group Name

חובה.

שם הקבוצה שמכילה את החברים שברשימה.
Members Type

חובה.

סוג החבר שרוצים לאחזר מהקבוצה.

הערכים האפשריים הם:

  • Only Users
  • Only Hosts
  • Both

ערך ברירת המחדל הוא Only Users.
Where To Search

חובה.

Organizational Unit או Group ספציפיים כדי להגדיר את היקף החיפוש.

הערכים האפשריים הם:

  • Select Option
  • Organizational Unit
  • Group

ערך ברירת המחדל הוא Select Option.
Filter Object Value

זה שינוי אופציונלי.

השם של Organizational Unit או Group שבהם הפעולה מחפשת את קבוצת היעד. חובה לכלול את הפרמטר הזה אם הערך של Where To Search הוא Organizational Unit או Group.
Perform Nested Search

זה שינוי אופציונלי.

אם האפשרות הזו נבחרת, הפעולה מאחזרת חברים מקבוצות משנה ששייכות לקבוצת היעד.
Limit

זה שינוי אופציונלי.

המספר המקסימלי של פריטים לאחזור מ-Active Directory.

ערך ברירת המחדל הוא 100.

ערכי פלט של פעולות

הפעולה Get Group Members מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר יש גישה
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
שולחן קונסולה צמוד לקיר

הפעולה Get Group Members מספקת את הטבלה הבאה ב-Case Wall:

  • שם הטבלה: Members of Active Directory group: <var class="readonly">GROUP_NAME</var>
  • עמודות:
    • Distinguished Name
    • SAM Account Name
    • User Principal Name
    • Type
תוצאת JSON

בדוגמה הבאה מוצג פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה Get Group Members:

[
  {
    "dn": "CN=Example User1,OU=User Accounts,DC=example,DC=local",
    "sAMAccountName": "ExampleUser1",
    "userPrincipalName": "user1@example.local",
    "type": "CN=Person,CN=Schema,CN=Configuration,DC=example,DC=local"
  },
  {
    "dn": "CN=Example User2,CN=Users,DC=example,DC=local",
    "sAMAccountName": "ExampleUser2",
    "userPrincipalName": "user2@example.local",
    "type": "CN=Person,CN=Schema,CN=Configuration,DC=example,DC=local"
  }
]
הודעות פלט

הפעולה קבלת חברי הקבוצה יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully retrieved members of the group "GROUP_NAME" from Active Directory.

Group "GROUP_NAME" doesn't contain any members matching search criteria in Active Directory.

 הפעולה בוצעה בהצלחה.
Error executing action "Get Group Members". Reason: Filter Object Value should be provided

הפעולה נכשלה.

צריך לציין יחידה ארגונית או שם קבוצה תקינים בפרמטר Filter Object Value כשהערך של Where To Search מוגדר כ-Organizational Unit או כ-Group.
Error executing action "Get Group Members". Reason: Given value for Limit should be a positive number.

הפעולה נכשלה.

צריך להזין מספר שלם גדול מ-0 בפרמטר Limit.
Error executing action "Get Group Members". Reason: Given group doesn't exist in Active Directory.

הפעולה נכשלה.

בודקים את שם הקבוצה בפרמטר Group Name ומוודאים שהקבוצה קיימת בהיקף החיפוש שהוגדר.
Error executing action "Get Group Members". Reason: Specified Organizational Unit doesn't exist in Active Directory.

הפעולה נכשלה.

מוודאים שהיחידה הארגונית שצוינה ב-Filter Object Value קיימת ב-Active Directory.
Error executing action "Get Group Members". Reason: Specified Group in "Filter Object Value" doesn't exist in Active Directory.

הפעולה נכשלה.

מוודאים שקבוצת ההורה שצוינה ב-Filter Object Value קיימת ב-Active Directory.
Error executing action "Get Group Members". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטרים של הקלט או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה קבלת חברים בקבוצה:

שם תוצאת הסקריפט ערך
is_success true או false

קבלת פרטים ליצירת קשר עם המנהל

משתמשים בפעולה Get Manager Contact Details כדי לחפש את המנהל של משתמש ב-Active Directory ולאחזר את הפרטים ליצירת קשר של המנהל. הפעולה מטרגטת באופן אוטומטי את המשתמשים שמצורפים לבקשת התמיכה.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה Get Manager Contact Details מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר יש גישה
טבלת העשרת ישויות יש גישה
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
שולחן קונסולה צמוד לקיר

הפעולה Get Manager Contact Details מציגה את הטבלה הבאה ב-Case Wall:

  • שם הטבלה: Manager Contact: <var class="readonly">ENTITY_ID</var>
  • עמודות:
    • Manager Name
    • Manager Phone
העשרת ישויות

הפעולה Get Manager Contact Details תומכת בהעשרת הישויות הבאות:

שם שדה ההעשרה לוגיקה
AD_Manager_Name הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_Manager_phone הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_primaryGroupID הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_logonCount הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_cn הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_countryCode הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_objectClass הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_userPrincipalName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_adminCount הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_lastLogonTimestamp הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_manager הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_instanceType הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_distinguishedName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_dSCorePropagationData הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_msDS-SupportedEncryptionTypes הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_objectSid הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_whenCreated הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_uSNCreated הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_lockoutTime הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_badPasswordTime הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_pwdLastSet הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_sAMAccountName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_objectCategory הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_lastLogon הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_objectGUID הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_whenChanged הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_badPwdCount הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_accountExpires הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_displayName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_name הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_memberOf הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_codePage הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_userAccountControl הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_sAMAccountType הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_uSNChanged הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_sn הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_givenName הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
AD_lastLogoff הפעולה מחזירה את הערך אם הוא קיים בתוצאת ה-JSON.
תוצאת JSON

בדוגמה הבאה מוצג פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה Get Manager Contact Details:

[
   {
        "EntityResult":
        {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["user@example.com"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["GUID"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example"],
            "name": ["user"],
            "memberOf": ["CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"]
        },
        "Entity": "user@example.com"
    }
]
הודעות פלט

הפעולה Get Manager Contact Details יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Retrieved manager details for the following users: ENTITY_ID הפעולה בוצעה בהצלחה.
The following users don't have managers specified in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שהמאפיין manager מאוכלס בחשבונות המשתמשים המטורגטים ב-Active Directory.
Failed to retrieve manager details for the following users: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

צריך לוודא שלחשבון השירות יש הרשאה לקרוא את המאפיין manager ואת פרופיל המשתמש של המנהל ב-Active Directory.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
No manager details were retrieved for the provided users.

הפעולה נכשלה.

מוודאים שהפנייה מכילה ישויות User תקינות שהוקצה להן מנהל ב-Active Directory.
Error executing action "Get Manager Contact Details". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Get Manager Contact Details:

שם תוצאת הסקריפט ערך
is_success true או false

האם המשתמש בקבוצה

משתמשים בפעולה Is User In Group כדי לבדוק אם משתמשים ספציפיים שייכים לקבוצה מסוימת ב-Active Directory. כברירת מחדל, הפעולה בודקת את הישויות מסוג User בפנייה. אפשר גם להזין רשימה של שמות משתמשים מופרדים בפסיקים בפרמטר User Name כדי לבדוק חשבונות ספציפיים ישירות.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

הפעולה האם המשתמש בקבוצה דורשת את הפרמטרים הבאים:

פרמטר תיאור
Group Name

חובה.

שם הקבוצה שרוצים לבדוק, למשל administrators.
User Name

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של שמות משתמשים שצריך לבדוק.

אם לא תציינו ערך, הפעולה תבדוק את הישויות מסוג User בבקשה.
Where To Search

חובה.

Organizational Unit או Group ספציפיים כדי להגדיר את היקף החיפוש.

הערכים האפשריים הם:

  • Select Option
  • Organizational Unit
  • Group

ערך ברירת המחדל הוא Select Option.
Filter Object Value

זה שינוי אופציונלי.

השם של Organizational Unit או Group שבהם הפעולה מחפשת את קבוצת היעד. חובה לכלול את הפרמטר הזה אם הערך של Where To Search הוא Organizational Unit או Group.
Search In Subgroups

זה שינוי אופציונלי.

אם האפשרות הזו נבחרת, הפעולה מחפשת באופן רקורסיבי בתוך תת-קבוצות מקוננות.

ערכי פלט של פעולות

הפעולה האם המשתמש בקבוצה מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

בדוגמה הבאה מוצג פלט התוצאה ב-JSON שמתקבל כשמשתמשים בפעולה האם המשתמש בקבוצה:

[
    {
        "EntityResult": true,
        "Entity": "USER1@EXAMPLE.COM"
    }, {
        "EntityResult": false,
        "Entity": "USER2@EXAMPLE.COM"
    }, {
        "EntityResult": true,
        "Entity": "USER3@EXAMPLE.COM"
    }
]
הודעות פלט

הפעולה האם המשתמש בקבוצה יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

USER_NAME IN GROUP_NAME;

USER_NAME NOT in GROUP_NAME;

 הפעולה בוצעה בהצלחה.
The following users were not found in Active Directory: USER_NAME

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים ששמות המשתמשים או הישויות של User קיימים ב-Active Directory.
None of the provided users were found in Active Directory.

הפעולה נכשלה.

צריך לוודא שהבקשה מכילה ישויות User תקינות או ששמות המשתמשים שצוינו בפרמטר User Name קיימים ב-Active Directory.
Error executing action "Is User In Group". Reason: Filter Object Value should be provided

הפעולה נכשלה.

צריך לציין יחידה ארגונית או שם קבוצה תקינים בפרמטר Filter Object Value כשהערך של Where To Search מוגדר כ-Organizational Unit או כ-Group.
Error executing action "Is User In Group". Reason: Given group doesn't exist in Active Directory.

הפעולה נכשלה.

בודקים את שם הקבוצה בפרמטר Group Name ומוודאים שהקבוצה קיימת בהיקף החיפוש שהוגדר.
Error executing action "Is User In Group". Reason: Specified Organizational Unit doesn't exist in Active Directory.

הפעולה נכשלה.

מוודאים שהיחידה הארגונית שצוינה ב-Filter Object Value קיימת ב-Active Directory.
Error executing action "Is User In Group". Reason: Specified Group in "Filter Object Value" doesn't exist in Active Directory.

הפעולה נכשלה.

מוודאים שקבוצת ההורה שצוינה ב-Filter Object Value קיימת ב-Active Directory.
Error executing action "Is User In Group". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטרים של הקלט או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה האם המשתמש בקבוצה:

שם תוצאת הסקריפט ערך
is_success true או false

הצגת רשימה של קבוצות משתמשים

משתמשים בפעולה List User Groups כדי לאחזר רשימה של כל הקבוצות ב-Active Directory שהמשתמש משתייך אליהן. הפעולה מטרגטת באופן אוטומטי את המשתמשים שמצורפים לבקשה.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה הצגת רשימה של קבוצות משתמשים מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאת JSON

הדוגמה הבאה מציגה את פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה הצגת רשימה של קבוצות משתמשים:

[
    {
        "EntityResult": ["Domain Users"],
        "Entity": "user@example.com"
    }
]
הודעות פלט

הפעולה List User Groups יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Groups were listed for the following users: ENTITY_ID הפעולה בוצעה בהצלחה.
No groups were found for the following users: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים מוקצים לקבוצה מפורשת אחת לפחות במאפיין memberOf ב-Active Directory.
Failed to list groups for the following users: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שלחשבון השירות יש הרשאה לקרוא את המאפיין memberOf בחשבונות המשתמשים הרלוונטיים.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
No groups were listed.

הפעולה נכשלה.

מוודאים שהפנייה מכילה ישויות User תקינות ששייכות לקבוצות ב-Active Directory.
Error executing action "List User Groups". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה הצגת רשימה של קבוצות משתמשים:

שם תוצאת הסקריפט ערך
is_success true או false

פינג

משתמשים בפעולה Ping כדי לוודא ש-Google SecOps יכול להתחבר לשרת Active Directory ולאמת אותו באמצעות הגדרות השילוב שנקבעו.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה פינג מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Ping יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Connected successfully. הפעולה בוצעה בהצלחה.
Error executing action "Ping". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את כתובת השרת, היציאה, הגדרות ה-SSL או פרטי כניסה לחשבון השירות בהגדרות השילוב.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט הסקריפט כשמשתמשים בפעולה פינג:

שם תוצאת הסקריפט ערך
is_success true או false

שחרור חשבון נעול

הפעולה Release Locked Account משמשת כדי לבטל את הנעילה של חשבונות משתמשים ב-Active Directory שננעלו אחרי יותר מדי ניסיונות כניסה שנכשלו. הפעולה מטרגטת באופן אוטומטי את המשתמשים שמצורפים לבקשת התמיכה.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

אין.

ערכי פלט של פעולות

הפעולה Release Locked Account מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Release Locked Account יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Unlocked account for the following users: ENTITY_ID הפעולה בוצעה בהצלחה.
Failed to unlock account for the following users: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שלחשבון השירות יש הרשאות קריאה וכתיבה למאפיין lockoutTime בחשבונות המשתמשים המטורגטים.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
No accounts were unlocked.

הפעולה נכשלה.

צריך לוודא שבבקשה יש ישויות User תקינות, ושלחשבון השירות יש הרשאה לבטל את הנעילה של חשבונות היעד.
Error executing action "Release Locked Account". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Release Locked Account:

שם תוצאת הסקריפט ערך
is_success true או false

הסרת משתמש מהקבוצה

משתמשים בפעולה Remove User From Group כדי להסיר משתמשים מהאירוע מקבוצה אחת או יותר של Active Directory, למשל כדי לבטל גישה מורחבת לקבוצה במהלך אירוע. הפעולה מזהה באופן אוטומטי את משתמשי היעד מהפנייה ומסירה אותם מהקבוצות שצוינו.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

הפעולה הסרת משתמש מקבוצה דורשת את הפרמטרים הבאים:

פרמטר תיאור
Group Name

חובה.

רשימה מופרדת בפסיקים של קבוצות שמהן רוצים להסיר את המשתמשים.

ערכי פלט של פעולות

הפעולה הסרת משתמש מקבוצה מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Remove User From Group יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully removed the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID

The following users were not a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID

 הפעולה בוצעה בהצלחה.
Action wasn't able to remove the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שלחשבון השירות יש הרשאה לשנות את המאפיין member בקבוצת היעד.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
The following groups were not found in Active Directory: GROUP_NAME

הפעולה נכשלה בקבוצות שצוינו.

צריך לבדוק את האיות של שמות הקבוצות בפרמטר Group Name ולוודא שהקבוצות קיימות בדומיין שהוגדר.
No users were removed from the group "GROUP_NAME" in Active Directory.

הפעולה נכשלה בקבוצה שצוינה.

צריך לוודא שמשתמשי היעד קיימים ב-Active Directory, ושלחשבון השירות יש הרשאת כתיבה לקבוצה שצוינה.
No users were removed from the provided groups in Active Directory.

הפעולה נכשלה.

צריך לוודא שהבקשה מכילה ישויות User תקינות ושהקבוצות שצוינו קיימות ב-Active Directory.
Error executing action "Remove User From Group". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטרים של הקלט או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה הסרת משתמש מקבוצה:

שם תוצאת הסקריפט ערך
is_success true או false

חיפוש ב-Active Directory

משתמשים בפעולה חיפוש ב-Active Directory כדי לחפש בספרייה משתמשים, מחשבים, קבוצות או יחידות ארגוניות באמצעות תנאי חיפוש מובנים או שאילתה בהתאמה אישית. אפשר גם לסנן את החיפוש לפי יחידות ארגוניות ספציפיות ולבחור אילו שדות מהספרייה יופיעו בתוצאות.

הפעולה הזו לא פועלת על ישויות של Google SecOps.

קלט של הפעולה

הפעולה חיפוש ב-Active Directory דורשת את הפרמטרים הבאים:

פרמטר תיאור
Search Condition

חובה.

התנאי שצריך להחיל על החיפוש.

הערכים האפשריים הם:

  • Contains
  • Exact Match
  • Starts With
  • Custom LDAP Query

ערך ברירת המחדל הוא Contains.
Include Domain

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה כוללת את רכיב הדומיין כשמחפשים עם התנאים Contains, Exact Match או Starts With.
Search Object

חובה.

סוג האובייקט שרוצים לחפש כשלא משתמשים ב-Custom LDAP Query.

הערכים האפשריים הם:

  • Select Option
  • User
  • Host
  • Group
  • Organizational Unit

ערך ברירת המחדל הוא Select Option.
Filter Object Value

חובה.

ערך של אובייקט לסינון, או מחרוזת השאילתה המלאה של LDAP כשהערך של Search Condition הוא Custom LDAP Query.
Custom Fields

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של מאפייני LDAP שיוחזרו בתוצאות החיפוש.
Specific OUs to Search

זה שינוי אופציונלי.

רשימה מופרדת בפסיקים של שמות של יחידות ארגוניות, כדי להגביל את היקף החיפוש.
Include Default Search Fields

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה כוללת את שדות ברירת המחדל של Active Directory בתוצאות שמוחזרות, בנוסף לכל Custom Fields שצוין.

מופעלת כברירת מחדל.
Max Records To Return

זה שינוי אופציונלי.

המספר המקסימלי של רשומות לאחזור מ-Active Directory.

ערך ברירת המחדל הוא 100.
Sort Field

זה שינוי אופציונלי.

שם מאפיין LDAP שמשמש למיון הרשומות שמוחזרות.

ערכי פלט של פעולות

הפעולה חיפוש ב-Active Directory מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר יש גישה
טבלת העשרה לא זמין
תוצאת JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
שולחן קונסולה צמוד לקיר

הפעולה Search Active Directory מספקת את הטבלה הבאה ב-Case Wall:

  • שם הטבלה: Active Directory Search Results
  • עמודות: מאפייני Active Directory שהוחזרו לרשומות התואמות בספרייה (על סמך Include Default Search Fields ו-Custom Fields).
תוצאת JSON

בדוגמה הבאה מוצג פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה חיפוש ב-Active Directory:

[
      {
        "primaryGroupID": [
          513
        ],
        "logonCount": [
          6505
        ],
        "cn": [
          "user name"
        ],
        "countryCode": [
          0
        ],
        "objectClass": [
          "top",
          "person",
          "organizationalPerson"
        ],
        "userPrincipalName": [
          "user@example.com"
        ],
        "adminCount": [
          1
        ],
        "lastLogonTimestamp": [
          "2019-01-09 08:42:03.540783+00:00"
        ],
        "manager": [
          "CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"
        ],
        "instanceType": [
          4
        ],
        "distinguishedName": [
          "CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "dSCorePropagationData": [
          "2019-01-14 14:39:16+00:00"
        ],
        "msDS-SupportedEncryptionTypes": [
          0
        ],
        "objectSid": [
          "ID"
        ],
        "whenCreated": [
          "2011-11-07 08:00:44+00:00"
        ],
        "uSNCreated": [
          7288202
        ],
        "lockoutTime": [
          "1601-01-01 00:00:00+00:00"
        ],
        "badPasswordTime": [
          "date"
        ],
        "pwdLastSet": [
          "date"
        ],
        "sAMAccountName": [
          "example"
        ],
        "objectCategory": [
          "CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"
        ],
        "lastLogon": [
          "2019-01-14 17:13:54.463070+00:00"
        ],
        "objectGUID": [
          "GUID"
        ],
        "whenChanged": [
          "2019-01-14 16:49:01+00:00"
        ],
        "badPwdCount": [
          1
        ],
        "accountExpires": [
          "9999-12-31 23:59:59.999999"
        ],
        "displayName": [
          "example"
        ],
        "name": [
          "user"
        ],
        "memberOf": [
          "CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL",
          "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL",
          "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "codePage": [
          0
        ],
        "userAccountControl": [
          111
        ],
        "sAMAccountType": [
          805306368
        ],
        "uSNChanged": [
          15301168
        ],
        "sn": [
          "example"
        ],
        "givenName": [
          "user"
        ],
        "lastLogoff": [
          "1601-01-01 00:00:00+00:00"
        ]
      }
    ]
הודעות פלט

הפעולה Search Active Directory יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully performed the query "QUERY_STRING" in Active Directory.

No results to show following the query: "QUERY_STRING".

 הפעולה בוצעה בהצלחה.
Error executing action "Search Active Directory". Reason: you need to select "Search Object" or choose "Custom LDAP Query" as a "Search Condition"

הפעולה נכשלה.

צריך לבחור סוג אובייקט תקין בפרמטר Search Object או לשנות את Search Condition ל-Custom LDAP Query.
Error executing action "Search Active Directory". Reason: Value for the parameter "Max Records To Return" should be a positive number.

הפעולה נכשלה.

צריך להזין מספר שלם שגדול מ-0 בפרמטר Max Records To Return.
Error executing action "Search Active Directory". Reason: The following OUs were not found in Active Directory: OU_NAMES

הפעולה נכשלה.

צריך לבדוק את האיות של היחידות הארגוניות בפרמטר Specific OUs to Search ולוודא שהן קיימות ב-Active Directory.
Error executing action "Search Active Directory". Reason: Knowingly invalid query was executed: "QUERY_STRING". Please verify the inputs and try again.

הפעולה נכשלה.

צריך לבדוק את התחביר של השאילתה המותאמת אישית או של ערך המסנן בפרמטר Filter Object Value, ולוודא שכל השמות שצוינו ב-Custom Fields או ב-Sort Field הם מאפייני LDAP תקינים.
Error executing action "Search Active Directory". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטרים של הקלט או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה חיפוש ב-Active Directory:

שם תוצאת הסקריפט ערך
is_success true או false

הגדרת סיסמת משתמש

משתמשים בפעולה Set User Password כדי לאפס את הסיסמה של המשתמשים בבקשה לסיסמה חדשה. חשוב לוודא שהשילוב מחובר באמצעות SSL‏ (LDAPS) ושהסיסמה החדשה עומדת בכללי המורכבות של הסיסמה בדומיין.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

הפעולה הגדרת סיסמת משתמש דורשת את הפרמטרים הבאים:

פרמטר תיאור
New Password

חובה.

ערך הסיסמה החדשה.

ערכי פלט של פעולות

הפעולה הגדרת סיסמת משתמש מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה הגדרת סיסמת משתמש יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Reset password for the following users: ENTITY_ID הפעולה בוצעה בהצלחה.
Failed to reset password for the following users: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שהסיסמה החדשה עומדת בדרישות של הדומיין לגבי מורכבות הסיסמה וההיסטוריה, ושהמשתמשים המיועדים הם לא חשבונות אדמין מוגנים.
The following users were not found in Active Directory: ENTITY_ID

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
No passwords were changed.

הפעולה נכשלה.

צריך לוודא שבבקשה יש ישויות User תקינות, ושלחשבון השירות יש הרשאה לאפס סיסמאות בחשבונות היעד.
Failed to execute "Set User Password" action! Watch Over Extended Rights permission or SSL connection.

הפעולה נכשלה.

מוודאים ש-Use SSL נבחר בהגדרות השילוב (LDAPS ביציאה 636) ושלחשבון השירות יש את ההרשאה המורחבת איפוס סיסמה.
Error executing action "Set User Password". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטרים של הקלט או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה הגדרת סיסמת משתמש:

שם תוצאת הסקריפט ערך
is_success true או false

עדכון מאפיינים של מארח AD

משתמשים בפעולה Update attributes of an AD Host כדי לעדכן מאפיין ספציפי של ספרייה בחשבונות המחשב באירוע, כמו עדכון השדה Description של המחשב עם הערות לגבי האירוע. הפעולה מזהה באופן אוטומטי את מחשבי היעד מהמקרה ומחילה את הערך החדש.

הפעולה הזו פועלת בישות Hostname של Google SecOps.

קלט של הפעולה

הפעולה Update attributes of an AD Host דורשת את הפרמטרים הבאים:

פרמטר תיאור
Attribute Name

חובה.

שם המאפיין שרוצים לעדכן, למשל Description.
Attribute Value

חובה.

הערך החדש של המאפיין.

ערכי פלט של פעולות

הפעולה Update attributes of an AD Host מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Update attributes of an AD Host יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully updated attribute "ATTRIBUTE_NAME" on the following hosts in Active Directory: ENTITY_ID_LIST הפעולה בוצעה בהצלחה.
Action wasn't able to update attribute "ATTRIBUTE_NAME" on the following hosts in Active Directory: ENTITY_ID_LIST

הפעולה נכשלה במארחים שצוינו.

צריך לוודא שלחשבון השירות יש הרשאת כתיבה למאפיין שצוין בחשבונות המחשב המטורגטים, ושהפורמט של הערך תקין למאפיין הזה.
The following hosts were not found in Active Directory: ENTITY_ID_LIST

הפעולה נכשלה במארחים שצוינו.

מוודאים שחשבונות המחשב קיימים ב-Active Directory ותואמים לישויות Hostname בבקשה.
No hosts were updated in Active Directory.

הפעולה נכשלה.

צריך לוודא שהבקשה מכילה ישויות Hostname תקינות, ושלחשבון השירות יש הרשאה לעדכן את המאפיין שצוין.
Error executing action "Update attributes of an AD Host". Reason: Provided attribute doesn't exist in Active Directory.

הפעולה נכשלה.

צריך לבדוק את האיות של המאפיין בפרמטר Attribute Name ולוודא שהוא מאפיין מחשב תקין ב-Active Directory.
Error executing action "Update attributes of an AD Host". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטרים של הקלט או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאות הסקריפט כשמשתמשים בפעולה Update attributes of an AD Host:

שם תוצאת הסקריפט ערך
is_success true או false

עדכון מאפיינים של משתמש ב-AD

השתמשו בפעולה עדכון מאפיינים של משתמש AD כדי לעדכן מאפיין ספציפי של ספרייה בחשבונות משתמשים, כמו עדכון השדות Description, title או department של משתמש. הפעולה מזהה באופן אוטומטי את משתמשי היעד מהבקשה ומחילה את הערך החדש.

הפעולה הזו פועלת בישות User של Google SecOps.

קלט של הפעולה

כדי להשתמש בפעולה Update attributes of an AD User, צריך להגדיר את הפרמטרים הבאים:

פרמטר תיאור
Attribute Name

חובה.

שם המאפיין שרוצים לעדכן, למשל Description.
Attribute Value

חובה.

הערך החדש של המאפיין.

ערכי פלט של פעולות

הפעולה עדכון מאפיינים של משתמש AD מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
חיבור לקיר של המארז לא זמין
קישור ללוח הפניות לא זמין
שולחן קונסולה צמוד לקיר לא זמין
טבלת העשרה לא זמין
תוצאת JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Update attributes of an AD User יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully updated attribute "ATTRIBUTE_NAME" for the following users in Active Directory: ENTITY_ID_LIST הפעולה בוצעה בהצלחה.
Action wasn't able to update attribute "ATTRIBUTE_NAME" for the following users in Active Directory: ENTITY_ID_LIST

הפעולה נכשלה עבור המשתמשים שצוינו.

צריך לוודא שלחשבון השירות יש הרשאת כתיבה למאפיין שצוין בחשבונות המשתמשים המטורגטים, ושהפורמט של הערך תקין למאפיין הזה.
The following users were not found in Active Directory: ENTITY_ID_LIST

הפעולה נכשלה עבור המשתמשים שצוינו.

מוודאים שחשבונות המשתמשים קיימים ב-Active Directory ותואמים לישויות של User בבקשה.
No users were updated in Active Directory.

הפעולה נכשלה.

צריך לוודא שהבקשה מכילה ישויות User תקינות, ושלחשבון השירות יש הרשאה לעדכן את המאפיין שצוין.
Error executing action "Update attributes of an AD User". Reason: Provided attribute doesn't exist in Active Directory.

הפעולה נכשלה.

צריך לבדוק את האיות של המאפיין בפרמטר Attribute Name ולוודא שהוא מאפיין משתמש תקין ב-Active Directory.
Error executing action "Update attributes of an AD User". Reason: ERROR_REASON

הפעולה נכשלה.

צריך לבדוק את החיבור לשרת Active Directory, את הפרמטרים של הקלט או את פרטי הכניסה של חשבון השירות.
תוצאת הסקריפט

בטבלה הבאה מפורטים הערכים של פלט תוצאת הסקריפט כשמשתמשים בפעולה Update attributes of an AD User:

שם תוצאת הסקריפט ערך
is_success true או false

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.