PowerShell: Notificación por correo electrónico a los usuarios del tiempo restante hasta la caducidad de su contraseña de dominio

En esta entrada voy a explicaros como podemos notificar por correo electrónico a los usuarios, con una serie de días de antelación, de la caducidad de sus contraseñas de dominio.

Para ello simplemente tendréis que utilizar un script de PowerShell y configurar una tarea programada de Windows para que se ejecute de forma periódica.

Configuración Script

En primer lugar abriremos Windows PowerShell ISE o en su defecto cualquier editor de texto que tengamos.

A continuación vamos a ejecutar el siguiente comando para crear un fichero encriptado donde guardaremos la contraseña del buzón que utilizaremos para enviar el correo.

Importante: este fichero sólo podrá desencriptarlo el usuario que lo creó por lo que tenerlo en cuenta a la hora de la programación del script ya que debe ejecutarse con el mismo usuario que creó el fichero.

read-host -assecurestring | convertfrom-securestring | out-file C:\contrasena.txt

Una vez tenemos el fichero encriptado con la contraseña el siguiente paso será copiar el siguiente script y modificar la configuración para adaptarla a nuestro entorno.

#Dirección del servidor SMTP mediante el que enviaremos los correos electrónicos. En este ejemplo utilizo los servidores de Office 365.
$smtpServer="dirección smtp de nuestro correo"
#Dirección del remitente
$from = "[email protected]"
$pass = cat C:\contrasena.txt | convertto-securestring
$cred = new-object -typename System.Management.Automation.PSCredential -argumentlist $from,$pass
$encoding=[System.Text.Encoding]::UTF8
#Mediante este parámetro filtraremos los usuarios a los que queremos realizar la notificación. Sólo se notificarán a los usuarios que les queden los días que hayamos definido en este parámetro. En este ejemplo 15 días o menos.
$expireindays = 15

Import-Module ActiveDirectory
#Obtenemos los usuarios a los que se notificará.
#En el ejemplo serán aquellos usuarios que se encuentren en la OU Internos de nuestro dominio, estén activos, no tengan marcado el check de que la contraseña nunca expira y la contraseña no haya expirado ya.
#Estos filtros podeis modificarlos para adaptarlos a vuestras necesidades
$users = get-aduser -filter {EmailAddress -like "*"} -SearchBase "ou=Internos,dc=dominio,dc=com" -properties * |where {$_.Enabled -eq "True"} | where { $_.PasswordNeverExpires -eq $false } | where { $_.passwordexpired -eq $false }

foreach ($user in $users)
{
  $Name = (Get-ADUser $user | foreach { $_.Name})
  $emailaddress = $user.emailaddress
  $passwordSetDate = (get-aduser $user -properties * | foreach { $_.PasswordLastSet })
  $maxPasswordAge = (Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge
  $expireson = $passwordsetdate + $maxPasswordAge
  $today = (get-date)
  $daystoexpire = (New-TimeSpan -Start $today -End $Expireson).Days
  #En esta variable definiremos el asunto del correo
  $subject="Correo informativo: Caducidad de Contraseña en $daystoExpire días"
  #Mediante esta variable definiremos el cuerpo del correo que enviaremos.
  #El texto será en formato html por lo que podremos diseñarlo a nuestro gusto utilizando etiquetas de HTML
  $body ="
  <p>Le quedan $daystoexpire días para que su contraseña de acceso al dominio caduque. Por favor modifiquela a la mayor brevedad posible.</p>"

  if (($daystoexpire -lt $expireindays) -and ($daystoexpire -gt 0))
  {
    Send-Mailmessage -smtpServer $smtpServer -from $from -to $emailaddress -Credential $cred -subject $subject -body $body -bodyasHTML -priority High -Encoding $encoding     
  }    
}

Una vez hechas las modificaciones necesarias guardaremos el script en la ubicación que deseemos para utilizarlo en el siguiente paso.

Configuración tarea programada

Para que se ejecute el script crearemos una tarea programada en nuestro servidor controlador de dominio para en función de la periodicidad que definamos se envíen las notificaciones a los usuarios.

Es importante que esta tarea programada se ejecute con el mismo usuario que utilizamos para encriptar el fichero donde almacenamos la contraseña del buzón de correos utilizado para el envío de correos.

Para el ejemplo yo he creado una tarea que se ejecuta de forma diaria por las mañanas para informar a aquellos usuarios que le quedan 15 días o menos para la expiración de la contraseña.

Y listo con estos sencillos pasos los usuarios recibirán una notificación con suficiente antelación que les permita cambiar su contraseña de dominio a tiempo.

Espero os haya servido de utilidad.