AD-Domänenbenutzer verwalten

Die Benutzerseite der AD-Domänenverwaltung zeigt synchronisierte Verzeichnisbenutzer und ermöglicht mit entsprechender Berechtigung das Erstellen, Ändern, Aktivieren, Deaktivieren, Entsperren und Zurücksetzen von Passwörtern. Die Aktionen betreffen tatsächliche Verzeichniskonten, nicht Ping64-Administratorkonten oder lokale Benutzer der Identitätsverwaltung. Einreichung, Genehmigung und erfolgreiche Verzeichnisausführung sind getrennte Zustände.

Die englischen Bedienelemente entsprechen der geprüften Oberfläche und werden deutsch erläutert.

Vorbereitung

• Prüfen Sie die erforderlichen AD-Lese-, Schreib- oder Operationsrechte. Schließen Sie die Domänenverbindung und Bereichskonfiguration ab und prüfen Sie Domänenstatus, Synchronisation, Verzeichnisrechte und Netzwerk.
• Bestätigen Sie Person, Quelldomäne, Verzeichnisposition und Änderungsberechtigung. Aktivierung, Deaktivierung, Entsperren und Passwortzurücksetzen können Anmeldung oder Geschäftszugriff beeinflussen; prüfen Sie Identität und Auswirkungen vorab.
• Passwörter müssen der tatsächlichen Richtlinie der Zieldomäne entsprechen und über einen genehmigten sicheren Kanal übermittelt werden, nicht über gewöhnliche Tickets, Chats oder öffentliche Materialien.
• Testen Sie Genehmigungs- und Ausführungspfade zuerst mit Testdomäne und kontrollierten Konten. Vermeiden Sie unnötige Teständerungen an Produktionskonten.

Genehmigung für Benutzeraktionen konfigurieren

Die vollständige Konfiguration finden Sie unter Genehmigungsregeln für AD-Domänenoperationen.

1. Wenn Erstellen und Deaktivieren von Benutzern sowie Zurücksetzen von Kennwörtern genehmigungspflichtig sind, öffnen Sie in AD Domain Management Audit Events > Platform Operations > Operation Audit > Approval rule und prüfen Sie vorhandene aktivierte Regeln und geeignete Genehmigungsvorlagen für AD-Domänenvorgänge. Prüfen Sie jede benötigte Aktion, Domäne, Objektzahl, Antragstellerrolle, Priorität und genehmigende Person. Verwenden Sie passende Regeln weiter; nur Berechtigte erstellen oder ändern sie bei Bedarf gemäß dem Regelkapitel.
2. Alle angegebenen Bedingungen müssen erfüllt sein; eine nicht angegebene Domäne oder Antragstellerrolle schränkt nicht ein. Bei mehreren ausgewählten Rollen genügt eine aktive Rolle; ungültige Rollen sind vor dem Speichern zu entfernen oder zu ersetzen. Bei mehreren Treffern hat die höhere Zahl Vorrang. Speichern Sie Änderungen und testen Sie genehmigungspflichtige und nicht genehmigungspflichtige Fälle an kontrollierten Objekten; prüfen Sie Genehmigung und Verzeichnisausführung. Ein Vorgang ohne passende aktivierte Regel wird direkt ausgeführt und wartet nicht automatisch auf Genehmigung. Bewerten Sie vor Tests Auswirkungen und Wiederherstellung.

Benutzer anzeigen und erstellen

1. Öffnen Sie die Benutzerseite und suchen Sie nach Quelldomäne oder Stichwort. Prüfen Sie Anzeigename, Anmeldename und Verzeichnisposition. Die Liste hängt von der Synchronisation ab. Bei fehlenden Benutzern prüfen Sie Domäne, Umfang, Filter und letzte Synchronisation; ein fehlender Listeneintrag beweist keine Abwesenheit im tatsächlichen Verzeichnis.
2. Wählen Sie Create user (Benutzer erstellen), die Zieldomäne und genau eine übergeordnete Organisationseinheit oder einen Container. Geben Sie Anzeigename, Anmeldename und User principal name (Benutzerprinzipalname) ein; ergänzen Sie bei Bedarf Organisations- und Kontaktdaten.
3. Entscheiden Sie bei Passwort und Status, ob das Konto nach Erstellung aktiviert wird. Für einen aktivierten Benutzer ist ein Anfangspasswort gemäß Ziel-Domänenrichtlinie erforderlich. Legen Sie gemäß Organisationsvorgaben fest, ob es bei der nächsten Anmeldung geändert werden muss.
4. Prüfen Sie Domäne, Position, Kontodaten und Status und bestätigen und übermitteln Sie nach Aufforderung. Verfolgen Sie erforderliche Genehmigungen in der AD-Domänengenehmigung, andernfalls die Ausführung gemäß Anzeige. Auch nach Genehmigung muss das AD-Ergebnis abgewartet werden.
5. Prüfen Sie nach Abschluss Benutzer und Kontostatus. Prüfen Sie bei Fehlern Verbindung, Position, Rechte, Kontonamen und Passwortrichtlinie sowie die konkrete Meldung.

Aktivieren, deaktivieren, entsperren und Passwort zurücksetzen

• Einzelaktion: Wählen und bestätigen Sie die gewünschte Aktion in der Liste. Prüfen Sie vor Deaktivierung den Geschäftseffekt und vor Entsperrung die Ursache; wiederholtes Entsperren ersetzt keine Untersuchung von Zugangsdatenproblemen.
• Stapelaktivierung oder -deaktivierung: Wählen Sie Ziele und Stapelaktion. Ein Stapel darf nur Benutzer derselben Quelldomäne enthalten. Prüfen Sie Domäne und Anzahl; bei Teilerfolg kontrollieren Sie jede erfolgreiche und fehlgeschlagene Aktion vor weiteren Schritten.
• Passwort zurücksetzen: Öffnen Sie in den Benutzerdetails die risikoreichen Aktionen und geben Sie ein neues, der Domänenrichtlinie entsprechendes Passwort ein. Wählen Sie die Änderungsanforderung für die nächste Anmeldung, prüfen Sie Benutzer und Domäne und reichen Sie ein. Folgen Sie Bestätigung, Genehmigung oder Ausführung, warten Sie das Ergebnis ab und benachrichtigen Sie sicher.

Nachverfolgung und Fehlerbehebung

• Zur Genehmigung eingereicht: Prüfen Sie den Fortschritt in der AD-Domänengenehmigung und anschließend das Verzeichnisergebnis. Genehmigung ist kein Ausführungserfolg.
• In Bearbeitung: Prüfen Sie Operation records (Operationsaufzeichnungen) unter Plattformoperationen in den Auditereignissen. Reichen Sie nicht allein wegen Wartezeit doppelt ein.
• Teilerfolg oder geändertes Objekt: Prüfen Sie Einzelergebnisse. Laden Sie bei einer Änderungsmeldung aktuelle Daten neu und bestätigen Sie das Ziel vor erneuter Einreichung.
• Erwartete Genehmigung fehlt: Prüfen Sie Aktivierung sowie Aktion, Domäne, Zielanzahl, Rolle, Priorität und Vorlage. Ohne Treffer ist direkte Ausführung möglich.
• Ausführung fehlgeschlagen: Prüfen Sie Rechte, Verbindung, Zielstatus und Seitenhinweis; bei Passwörtern auch die Domänenrichtlinie. Kontaktieren Sie bei Bedarf die Verzeichnisadministration.