工作中有时候我们需要对一些AD的重要群组做监控，例如domain admins等，避免被黑客提权，或者其他员工过分授权。 这个时候可以使用一个外国人提供的脚本 下载地址： 链接: https://pan.baidu.com/s/1AxwpHqHkulXvo1VcEiSQqQ 提取码: 0l31
使用的方法： 一、下载该脚本 二、解压压缩包然后复制到域控服务器一个文件夹中，并且安装Quest_ActiveRolesManagementShellforActiveDirectoryx64_151.msi 三、编辑checkgroup.bat文件，修改要监控的组、发件人、收件人、邮件服务器 四、在邮件服务器设置允许这个服务器匿名发送邮件 五、打开任务计划，添加checkgroup.bat脚本设置每天执行，且5分钟重复一次
一、下载该脚本
链接: https://pan.baidu.com/s/1AxwpHqHkulXvo1VcEiSQqQ 提取码: 0l31
二、解压压缩包然后复制到域控服务器一个文件夹中，并且安装Quest_ActiveRolesManagementShellforActiveDirectoryx64_151.msi
复制到服务器后安装这个插件，双击之后一直下一步到安装完成。
三、编辑checkgroup.bat文件，修改要监控的组、发件人、收件人、邮件服务器
这里只有几个参数要修改：
组可以是ad中任意组，例如自定义的tech组，根据需要添加删除组，中间用逗号分隔，由于cmd的缘故，最好专门给冒号加 \ 进行转义
发件人只有一个，这个可以任意写一个邮箱，因为本身没支持输入账号密码类的，如果要支持账号密码，可以自行修改powershell文件，需要有powershell基础。
收件人可以多个邮箱，逗号分隔就行
邮件服务器可以输入ip或者域名
四、在邮件服务器设置允许这个服务器匿名发送邮件
登录到邮件服务器，这里假设是exchange服务器，可以在上面设置添加一个接收连接器，允许指定的这个服务器的ip发送smtp邮件，并且是支持匿名的。
五、打开任务计划，添加checkgroup.bat脚本设置每天执行，且5分钟重复一次
打开这个服务器的任务计划，添加一个5分钟执行的任务，记得设置最高权限，并且使用一个固定的域账号密码执行。该任务计划需要保存账号密码的
效果描述：该任务计划5分钟就会执行一次，触发脚本，脚本会收集一次指定的组是否有成员变化，如果有成员变化，添加或者删除，就会发送邮件到指定的邮箱。
