O Active Directory possuí vários atributos de contas de usuário, entre eles a “janela” de horários permitidos de logon dessas contas, evitando uma conta entrar em computadores e um determinado horário. Porém caso a conta já esteja no computador antes da restrição, não impede que o usuário em questão continue trabalhando.
Aqui iremos sugerir uma forma de, quando houver uma restrição de horário de logon no Active Directory o usuário seja avisado ao usuário antes de chegar o horário e, ao chegar o horário de restrição, a sessão de um usuário seja bloqueada no desktop. Para isso, iremos:
- Criar um script capaz de:
- Listar o data e hora de logon, no Active Directory, do usuário ativo;
- Obter os data e hora horários (UTC e com timezone);
- Enviar alerta para o usuário, caso na hora seguinte (do dia atual) existe uma restrição de horário;
- Bloquear o computador se a hora atual (do dia atual) for uma hora que o usuário tem uma restrição de horário;
- Salvar esse script em uma pasta compartilhada da rede;
- Criar uma tarefa agendada para executar esse script enquanto o usuário estiver usando o computador.
Sugerimos que pegue a versão mais atual do nosso código em nosso repositório GitHub, disponível em VBS – Logon_hours – GitHub. Caso prefira criar manualmente, crie um arquivo VBS para esse caso, pois apesar de ser mais simples o código no PowerShell não queremos permitir que usuários possam executar scripts PowerShell’s não assinados (que outros scripts podem conter conteúdo malicioso ou indesejado). Para isso, abra o bloco de notas e coloque o seguinte conteúdo:
On Error Resume Next
'Obtem os dados da conta LDAP
Dim objSysInfo, objUser
Set objSysInfo = CreateObject("ADSystemInfo")
'5 tentativas de conexão ao AD (problemas em laptops em Wifi, logar em cache, mas ainda não tem acesso à rede)
xcount = 0
While xcount < 5
Set objUser = GetObject("LDAP://" & objSysInfo.UserName)
If IsNull(objUser) or IsEmpty(objUser) Then
xcount = xcount+1
If (xcount = 5) Then
Wscript.quit
Else
Wscript.sleep 3000
End If
Else
xcount = 5
End If
Wend
If IsNull(objUser.Get("logonHours")) Then
wscript.quit
End If
arrLogonHours = objUser.Get("logonHours")
Dim arrLogonHoursBytes(20)
Dim Schedule(7,23)
For i = 1 To LenB(arrLogonHours)
arrLogonHoursBytes(i-1) = AscB(MidB(arrLogonHours, i, 1))
Next
'Obtem a agenda de horarios da conta LDAP
intCounter = 0
For Each LogonHourByte In arrLogonHoursBytes
arrLogonHourBits = GetLogonHourBits(LogonHourByte)
For Each LogonHourBit In arrLogonHourBits
'Sei que passando 24 horas é outro dia, então vou obter o dia a partir do total de horas dividido por 24
check_day = intCounter
'Vou obter a hora DESSE dia pegando o total de horas e subtraindo as horas dos dias anteriores
check_hour = (intCounter - (check_day*24))
'wscript.echo "semana " & check_day & " - as " & check_hour & " horas - liberacao: "& LogonHourBit
Schedule(check_day,check_hour) = LogonHourBit
intCounter = 1 + intCounter
Next
Next
'OBTENDO O DIA DA SEMANA E A HORA EM UTC
Set dateTime = CreateObject("WbemScripting.SWbemDateTime")
dateTime.SetVarDate (now())
This_Moment_UTC = dateTime.GetVarDate (false)
'Vou obter a data futura em uma hora (pois se for 23 horas, vai mudar o dia também)
dateTime.Hours = dateTime.Hours+1
NextHour_UTC = dateTime.GetVarDate (false)
'Vou obter os valores com o timezone local, para usar na hora de exibir a mensagem para o usuário
NextHour_TZ = dateTime.GetVarDate ()
'Defindo todas os dias e horas que usaremos nesse script
Now_Weekday = Weekday(This_Moment_UTC)-1
NextHour_UTC_Weekday = Weekday(NextHour_UTC)-1
Now_Hour_UTC = DatePart("h", This_Moment_UTC)
NextHour_UTC_Hour = DatePart("h", NextHour_UTC)
NextHour_Hour_TZ = DatePart("h", NextHour_TZ)
'VERIFICA SE TEM USUARIO LOGADO
Dim computer, UserIsLogged, wmi
computer = "."
Set wmi = GetObject("winmgmts://" & computer & "/root/cimv2")
UserIsLogged = wmi.ExecQuery("SELECT * FROM Win32_Process WHERE Name = 'LogonUI.exe'").Count
'Vamos verificar se o usuário está logado
If NOT (UserIsLogged ) Then
'Vamos dar alerta se na proxima hora vai acabar o horario de logon OU bloquear se já acabou o tempo
If Schedule(Now_Weekday,Now_Hour_UTC) = 0 Then
Set oShell = WScript.CreateObject ("WScript.Shell")
oShell.run "Rundll32.exe User32.dll,LockWorkStation"
ElseIf Schedule(Now_Weekday,NextHour_UTC_Hour) = 0 Then
dim answer
answer = MsgBox("Sua conta de rede ira bloquear as "& NextHour_Hour_TZ &" horas" & vbcrlf & "" & vbcrlf & "Se for preciso, entre em contato com o suporte",48,"Controle de Logon")
End If
End If
Function GetLogonHourBits(x)
Dim arrBits(7)
For i = 7 to 0 Step -1
If x And 2^i Then
arrBits(i) = 1
Else
arrBits(i) = 0
End If
Next
GetLogonHourBits = arrBits
End FunctionSalve o arquivo com o nome Logon_hours.vbs e teste esse arquivo manualmente em alguns cenários (com uma conta de teste, configurada restrições de horário no Active Directory) para se certificar que está executando corretamente. Em seguida copie para a pasta de rede \\seudominio.com.br\Netlogon
Funcionando tudo corretamente até esse ponto, crie uma política de Grupo/GPO chamada Logon_hours_Restrition e vincule na OU onde estão seus usuários. Edite essa GPO
Crie uma GPO chamada Check Logon Hours, vincule ela na OU que estão os usuários que devem receber essa política de papel de parede. Edite essa GPO e vá em User Configuration , Preferences, Control Panel Settings, Task Scheduler , crie uma nova tarefa agendada para Windows 7 ou superior, na tela de criação a seguinte tarefa agendada:
- Em General:
- Em Action, defina como Update
- Em Name, insira GPO-Check Logon Hours
- Em Account, insira %LogonDomain%\%LogonUser%
- Marque: Run only when the user is logged on
- Em Triggers:
- Adicione uma trigger com Begin the task: At Logon
- Adicione uma trigger com Begin the task: 08:00 AM, configurado com repeat every 15 minutes e com for a duration of 1 day
- Adicione uma trigger com Begin the task: At Unlock
- Em Actions
- Adicione uma action, em Program, coloque wscript.exe e em Arguments coloque \\suaempresa.com.br\netlogon\Logon_hours.vbs
- Clique em OK e feche a GPO.
Em um usuário que possuí restrição de horário, atualize as políticas de grupo (no CMD, com o comando GPUpdate /force) e teste novamente.
Por fim, agora defina as restrições de horários nos usuários que desejar.
Fontes/Referências
https://github.com/luizcarlosbranco/nvlan
https://www.activexperts.com/admin/vbscript-collection/usersgroups/users/#DisplayAllowedLogon.htm
Mais Informações
Esperamos ter ajudado da melhor forma possível e estaremos sempre a disposição para mais informações.
Se você tem interesse em algum assunto específico, tem alguma dúvida que precisa de ajuda, ou quer sugerir um post, entre em contato conosco pelo e-mail equipe@nvlan.com.br.
