Scripts Active Directory : créer des comptes en masse depuis un CSV

Prenom;Nom;Service;Fonction;DateFin
Théo;Marchal;Logistique;Préparateur;2027-01-08
Éloïse;Gaillard;Logistique;Préparatrice;2027-01-08
Inès;Roux;Comptabilite;Assistante comptable;
Zoë;N'Diaye;Logistique;Cariste;2027-01-08
Jean-Luc;Dupré;Comptabilite;Comptable;

#Requires -Modules ActiveDirectory
<#
.SYNOPSIS
    Crée les comptes Active Directory des nouveaux arrivants à partir d'un fichier CSV.
.DESCRIPTION
    Colonnes : Prenom;Nom;Service;Fonction;DateFin (DateFin facultative, aaaa-mm-jj : dernier jour du contrat).
    Une personne qui a déjà un compte dans l'OU de son service est ignorée : le script peut être relancé.
    Les mots de passe initiaux sont écrits dans un fichier à remettre de façon sécurisée, puis à supprimer.
.EXAMPLE
    .\New-ComptesArrivees.ps1 -CheminCsv .\arrivees.csv -WhatIf
#>
[CmdletBinding(SupportsShouldProcess)]
param(
    [Parameter(Mandatory)]
    [ValidateScript({ Test-Path -Path $_ -PathType Leaf })]
    [string]$CheminCsv,

    [string]$Domaine       = 'ad.sorbier.example',
    [string]$BaseOU        = 'OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example',
    [string]$DossierSortie = (Join-Path $PSScriptRoot 'sorties')
)
$ErrorActionPreference = 'Stop'

# Service du CSV -> groupe global du service (méthode AGDLP, cours Windows Server)
$groupes = @{
    Direction    = 'GG_Direction'
    Comptabilite = 'GG_Comptables'
    Commercial   = 'GG_Commerciaux'
    Logistique   = 'GG_Logisticiens'
    # Pas d'Informatique : ces comptes se créent à la main, leurs groupes donnent des droits délégués
}

function ConvertTo-Login {
    param([string]$Prenom, [string]$Nom)
    $brut = ($Prenom.Substring(0, 1) + $Nom).ToLower() -replace 'æ', 'ae' -replace 'œ', 'oe'
    ($brut.Normalize([Text.NormalizationForm]::FormD) -replace '\p{Mn}', '') -replace '[^a-z0-9]', ''
}

function New-MotDePasseInitial {
    param([int]$Longueur = 16)
    # 64 caractères sans les signes ambigus (I, O, l, o, 0, 1) : un octet modulo 64 ne favorise aucun caractère
    $alphabet = 'ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnpqrstuvwxyz23456789!#%+=?@-'
    $octets = [byte[]]::new($Longueur)
    $generateur = [System.Security.Cryptography.RandomNumberGenerator]::Create()
    $generateur.GetBytes($octets)
    $generateur.Dispose()
    -join ($octets | ForEach-Object { $alphabet[$_ % 64] })
}

# Le journal s'écrit même en simulation : -WhatIf:$false sur les commandes de fichiers
$null = New-Item -Path $DossierSortie -ItemType Directory -Force -WhatIf:$false
$horodatage = Get-Date -Format 'yyyy-MM-dd_HHmm'
$journal = Join-Path $DossierSortie "creation-$horodatage.log"
function Write-Journal {
    param([string]$Message)
    Add-Content -Path $journal -Value "$(Get-Date -Format s) $Message" -Encoding UTF8 -WhatIf:$false
}

$lignes = @(Import-Csv -Path $CheminCsv -Delimiter ';' -Encoding UTF8)
$manquantes = 'Prenom', 'Nom', 'Service', 'Fonction' |
    Where-Object { $_ -notin $lignes[0].PSObject.Properties.Name }
if ($manquantes) { throw "Colonnes absentes du CSV : $($manquantes -join ', ')" }

$bilan = [System.Collections.Generic.List[object]]::new()
Write-Journal "Début : $($lignes.Count) ligne(s) dans $CheminCsv"

foreach ($l in $lignes) {
    $prenom  = $l.Prenom.Trim()
    $nom     = $l.Nom.Trim()
    $service = $l.Service.Trim()
    $ou      = "OU=$service,$BaseOU"

    if (-not $groupes.ContainsKey($service)) {
        Write-Journal "IGNORÉ $prenom $nom : service inconnu « $service »"
        Write-Warning "$prenom $nom : service inconnu « $service »"
        continue
    }

    # Déjà créé lors d'un lancement précédent ? Les variables dans -Filter évitent le piège des apostrophes.
    if (Get-ADUser -Filter 'GivenName -eq $prenom -and Surname -eq $nom' -SearchBase $ou) {
        Write-Journal "IGNORÉ $prenom $nom : un compte existe déjà dans $ou"
        continue
    }

    # Login unique : jdupre, sinon jdupre2, jdupre3…
    $base  = ConvertTo-Login -Prenom $prenom -Nom $nom
    $login = $base
    $n = 2
    while (Get-ADUser -Filter 'SamAccountName -eq $login') {
        $login = "$base$n"
        $n++
    }

    $mdp = New-MotDePasseInitial
    $params = @{
        Name                  = if ($login -eq $base) { "$prenom $nom" } else { "$prenom $nom ($login)" }
        GivenName             = $prenom
        Surname               = $nom
        DisplayName           = "$prenom $nom"
        SamAccountName        = $login
        UserPrincipalName     = "$login@$Domaine"
        Path                  = $ou
        Department            = $service
        Title                 = $l.Fonction
        AccountPassword       = ConvertTo-SecureString -String $mdp -AsPlainText -Force
        ChangePasswordAtLogon = $true
        Enabled               = $true
    }
    if ($l.DateFin) {
        # Le compte expire à minuit au début du jour indiqué : on vise le lendemain du dernier jour
        $params.AccountExpirationDate = [datetime]::ParseExact($l.DateFin, 'yyyy-MM-dd', $null).AddDays(1)
    }

    if ($PSCmdlet.ShouldProcess("$prenom $nom ($login) dans $ou", 'Créer le compte')) {
        try {
            New-ADUser @params
            Add-ADGroupMember -Identity $groupes[$service] -Members $login
            Write-Journal "CRÉÉ $login ($prenom $nom, $service)"
            $bilan.Add([pscustomobject]@{
                Login = $login; Nom = "$prenom $nom"; Service = $service; MotDePasseInitial = $mdp
            })
        }
        catch {
            Write-Journal "ERREUR $login : $($_.Exception.Message)"
            Write-Warning "$login : $($_.Exception.Message)"
        }
    }
}

if ($bilan.Count -gt 0) {
    $fichierMdp = Join-Path $DossierSortie "mots-de-passe-$horodatage.csv"
    $bilan | Export-Csv -Path $fichierMdp -Delimiter ';' -NoTypeInformation -Encoding UTF8 -WhatIf:$false
    Write-Output "$($bilan.Count) compte(s) créé(s). Mots de passe initiaux : $fichierMdp"
}
Write-Journal "Fin : $($bilan.Count) compte(s) créé(s)"

[CmdletBinding(SupportsShouldProcess)]
param(
    [Parameter(Mandatory)]
    [string[]]$Login,
    [string]$OUDeparts = 'OU=Departs,OU=Sorbier,DC=ad,DC=sorbier,DC=example'
)
$ErrorActionPreference = 'Stop'

foreach ($l in $Login) {
    try {
        $u = Get-ADUser -Identity $l -Properties MemberOf
    }
    catch [Microsoft.ActiveDirectory.Management.ADIdentityNotFoundException] {
        Write-Warning "$l : compte introuvable"
        continue
    }
    if ($PSCmdlet.ShouldProcess($u.SamAccountName, 'Désactiver, retirer des groupes, déplacer')) {
        $groupesRetires = foreach ($g in $u.MemberOf) {
            Remove-ADGroupMember -Identity $g -Members $u -Confirm:$false
            ($g -split ',')[0] -replace '^CN='
        }
        Disable-ADAccount -Identity $u
        Set-ADUser -Identity $u -Description "Départ le $(Get-Date -Format 'dd/MM/yyyy'), traité par $env:USERNAME"
        Move-ADObject -Identity $u.DistinguishedName -TargetPath $OUDeparts
        [pscustomobject]@{ Login = $u.SamAccountName; GroupesRetires = $groupesRetires -join ', ' }
    }
}

$base   = 'OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example'
$limite = (Get-Date).AddDays(-90)
$comptes = Get-ADUser -Filter 'Enabled -eq $true' -SearchBase $base `
    -Properties LastLogonDate, PasswordNeverExpires, PasswordLastSet, whenCreated, Department

$inactifs = $comptes | Where-Object {
    $reference = if ($_.LastLogonDate) { $_.LastLogonDate } else { $_.whenCreated }
    $reference -lt $limite
}
$sansExpiration = $comptes | Where-Object PasswordNeverExpires

$corps = @(
    $inactifs | Select-Object SamAccountName, Department, LastLogonDate |
        ConvertTo-Html -Fragment -PreContent "<h2>Comptes inactifs depuis 90 jours ($(@($inactifs).Count))</h2>"
    $sansExpiration | Select-Object SamAccountName, Department, PasswordLastSet |
        ConvertTo-Html -Fragment -PreContent "<h2>Mots de passe qui n'expirent jamais ($(@($sansExpiration).Count))</h2>"
)
ConvertTo-Html -Title 'Audit des comptes Sorbier' -Body $corps -PostContent "<p>Généré le $(Get-Date -Format 'dd/MM/yyyy HH:mm')</p>" |
    Out-File -FilePath "D:\Rapports\audit-comptes-$(Get-Date -Format 'yyyy-MM').html" -Encoding utf8