通常我们都是用OU来对AD用户进行分类管理。开始之前先对组织单位(OU)概念进行介绍。
组织单位：OU是一些ActiveDirectory容器，可以在其中放置用户、组、计算机和其他OU。OU不能包含来自其他域中的对象。OU是可以向其分配组策略设置或委派管理权力的最小作用域或单位。使用OU可以在域中创建表示组织中的层次结构、逻辑结构的容器。然后可以根据组织模型管理帐户和资源的配置和使用。
注意：OU不能用于为资源分配权限。
相对于OU，还有一些默认容器是安装ADDS是创建的。区分组OU和默认容器的方法看图标即可。
这种图标的是OU，
这种图标是默认容器。默认容器是无法链接组策略，只有OU才可以链接组策略，这也是为什么推荐大家使用OU来管理用户和计算机账号的原因，不建议大家直接把用户和计算机账号放在Users和Computers这两个默认容器。
一、OU设计及委派控制
1.根据不同的账号类型分别建立OU。
2.在用户账号OU下又可以按分别建立相应OU来管理各部门账号，这样也可以方便以后组策略的应用，因为可能各部门需要应用不同的策略。
3.OU委派管理。
OU委派管理在企业中经常用到，比如：让部门经理管理自己部门的账号或Helpdesk来对AD账号进行维护，如果直接给DomainAdmin这肯定是不合适，权限过大，这是OU的委派控制就能起到作用。被委派的用户可以是DomainUser，他们可以使用远程管理工具RSAT来对用户进行管理。
RSATForWindows7SP1:http://www.microsoft.com/zh-cn/download/details.aspx?id=7887
RSATForWindows8:http://www.microsoft.com/zh-cn/download/details.aspx?id=28972
打开ActiveDirectory用户和计算机，右击需要委派的OU，选择“委派控制”。
添加你想委派控制的用户或组。
根据需求选择需要委派的任务，如需委派更多权限可以选择自定义任务，最后点击“完成即可完成委派”
如果需要删除委派的话，打开高级功能，右击需要删除委派的OU，选择“属性”，在“安全”页面找到相应用户删除即可。
二.用户管理
使用CSVDE导入用户
CSVDE这个命令行工具，可以利用现用的csv文件，实现批量导入(导出)AD对象。
CSVDE命令的基本语法：
csvde-i-fc:\filename.csv–k
具体的命令参数说明请使用csvde/?查看
其中“-i”参数指定为导入模式，不使用该参数默认为导出模式。-f指定要导入或导出的路径和文件名。-k可以忽略已经存在、限制冲突和属性等错误。
首先在excel文件中设置好用户信息，然后将文件保存为csv格式文件。具体格式如图：
然后在cmd命令中输入csvde-i–fD:\users.csv–k，可以看到成功导入。
CSVDE命令是无法导入密码的，所以导入的用户都是禁用状态。如果需要批量设置密码、启用账号及设置首次登陆需要更改密码，可以使用如下命令：
dsqueryuser"ou=users,ou=long,dc=lab,dc=com"|dsmoduser-pwdP@ssw0rd-mustchpwdyes–disableno
CSVDE导出用户信息，这里就不做演示，有兴趣可以可以自己尝试。使用Powershell来导出会比CSVDE更方便。
使用LDIFDE导入用户
ldifde.exe这个工具也可以导入AD对象。ldifde所倒入的信息文件格式为.ldf。ldifde和csvde一样都是不可以导入用户密码，但是ldifde可以修改现有对象的属性。
LDIFDE命令的基本语法：
ldifde-i-fc:\filename.ldf
具体的命令参数说明请使用ldifde/?查看。
LDIF文件格式：
DN:CN=RayWang,OU=long,dc=lab,dc=com
changetype:add
objectclass：user
samaccountname：ray.wang
userprincipalname:[email protected]
givenname:Ray
sn:Wang
将以上保存成.ldf文件即可导入，这里就不演示了。
使用Poweshell导入导出用户
I.导入用户
Powershell对AD对象的管理功能远比csvde和ldifde强，而且powershell可以导入用户密码。
使用Powershell新建AD用户，可以使用New-ADUser，语法如下：
New-ADUser[-Name]<string>[-WhatIf][-Confirm][-AccountExpirationDate<datetime>][-AccountNotDelegated<bool>]
[-AccountPassword<securestring>][-AllowReversiblePasswordEncryption<bool>][-AuthType<ADAuthType>{Negotiate|
Basic}][-CannotChangePassword<bool>][-Certificates<X509Certificate[]>][-ChangePasswordAtLogon<bool>][-City<
string>][-Company<string>][-CompoundIdentitySupported<bool>][-Country<string>][-Credential<pscredential>][
-Department<string>][-Description<string>][-DisplayName<string>][-Division<string>][-EmailAddress<string>]
[-EmployeeID<string>][-EmployeeNumber<string>][-Enabled<bool>][-Fax<string>][-GivenName<string>][-HomeDi
rectory<string>][-HomeDrive<string>][-HomePage<string>][-HomePhone<string>][-Initials<string>][-Instance
<ADUser>][-KerberosEncryptionType<ADKerberosEncryptionType>{None|DES|RC4|AES128|AES256}][-LogonWorkstat
ions<string>][-Manager<ADUser>][-MobilePhone<string>][-Office<string>][-OfficePhone<string>][-Organizatio
n<string>][-OtherAttributes<hashtable>][-OtherName<string>][-PassThru][-PasswordNeverExpires<bool>][-Passw
ordNotRequired<bool>][-Path<string>][-POBox<string>][-PostalCode<string>][-PrincipalsAllowedToDelegateToAcc
ount<ADPrincipal[]>][-ProfilePath<string>][-SamAccountName<string>][-ScriptPath<string>][-Server<string>]
[-ServicePrincipalNames<string[]>][-SmartcardLogonRequired<bool>][-State<string>][-StreetAddress<string>][-
Surname<string>][-Title<string>][-TrustedForDelegation<bool>][-Type<string>][-UserPrincipalName<string>]
[<CommonParameters>]
创建单个用户示例，注意其中红色部分密码设置的格式：
New-ADUser-Name"RayWang"[email protected]
enNameRay-SurnameWang-DisplayName"RayWang"-AccountPassword(ConvertTo-SecureString"P@ssw0rd"-AsPlainText-Force
)-ChangePasswordAtLogon$true-path"ou=it,ou=long,dc=lab,dc=com"-Enabled$true
注：如需增加更多属性，请参考语法中的属性字段。如果是系统是2008，则需要使用Import-ModuleActiveDirectory倒入AD模块先，但在2012中会自动导入。
下面介绍使用powershell批量创建用户。
1.首先创建.csv格式用户信息表。
2.使用powershell命令导入csv中的用户信息
Import-Csvd:\adduser.csv|foreach{New-ADUser-Name$_.name-SamAccountName$_.samaccountna
me-UserPrincipalName$_.userprincipalname-GivenName$_.givenname-Surname$_.surname-DisplayName$_.displayname-Path
$_.path-AccountPassword(ConvertTo-SecureString"P@ssw0rd"-AsPlainText-Force)-ChangePasswordAtLogon$true-Enabled
$true}
3.可以看到在IT和HR两个OU分别都创建了用户。
II.导出用户信息
利用Powershell可以将用户信息，比如最后一次登陆时间和修改密码时间，登录到等等信息
Get-ADUser这个命令就可以实现AD用户信息的查询
导出指定OU用户的登录到信息，最后一次登录和修改密码时间示例：
Get-ADUser-Filter*-Properties*-SearchBase"ou=it,ou=users,ou=long,dc=lab,dc=com"|Select-ObjectName,passwordlastset,logonworkstations,lastlogondate|Export-Csv-NoTypeInformation-EncodingUTF8-Path"d:\userinfo.csv"
其中信息空白是因为这些用户是新建的没有进行过登陆及密码修改.
至此，AD用户的管理及创建介绍都已完成，相对于csvde和ldifde，powrshell在运维过程中可以带来很大的便利，功能上也比csvde和ldifde更丰富。建议大家在平时学习下powershell的一些基本命令。
本文出自“蜡笔小牛”博客，请务必保留此出处http://labixiaoniu.blog.51cto.com/695063/1259605