АХ 2012 пускает пользователя, когда он исключен из AD

[igortsk]

Еще раз подробнее описываю свои действия:
1) импортирую пользователя из АД в АХ, назначаю любые роли (одну или несколько)
2) НЕ добавляю его в группу АД в оснастке, которая разрешает вход в АХ
3) Пользователь может заходить в АХ несмотря на тот факт, что в группу пользователей в АД, имеющих доступ к АХ он не включен.

Что хочу:
-создавать пользователя, давать ему любые роли, но пока не добавлю его в группу в АД, не давать ему заходить в АХ. Централизация управления.

[sukhanchik]

Цитата:

Сообщение от igortsk

Еще раз подробнее описываю свои действия:
1) импортирую пользователя из АД в АХ, назначаю любые роли (одну или несколько)
2) НЕ добавляю его в группу АД в оснастке, которая разрешает вход в АХ
3) Пользователь может заходить в АХ несмотря на тот факт, что в группу пользователей в АД, имеющих доступ к АХ он не включен.

Что хочу:
-создавать пользователя, давать ему любые роли, но пока не добавлю его в группу в АД, не давать ему заходить в АХ. Централизация управления.

Вот! Отличная постановка задачи!

Что надо сделать: Не надо импортировать пользователя из AD в АХ. Надо создать пользователя в АХ, как группу в AD и назначить ей роли.

И до тех пор, пока пользователь не будет включен в группу в AD - у него не появится никаких прав. А после выкидывания его из группы в AD - нужно завершить везде все его активные сессии

[igortsk]

но...как же так?
Что-то изменилось ?

У меня 500 пользователей, мне теперь их всех так прогнать чтоли?? Изменить с "пользователь ACTIVE DIRECTORY" на "группа ACTIVE DIRECTORY" в настройках? Конечно, можно джобом, но смысл?

Почему раньше все работало (исключал пользователя из группы в АД и этот пользователь не мог зайти в АХ)?