Dapatkan daftar grup AD yang menjadi anggota

Misalkan saya memiliki id pengguna dari pengguna di Active Directory. Saya ingin mendapatkan daftar semua grup AD yang saat itu menjadi anggotanya. Bagaimana saya bisa melakukan ini dari baris perintah Windows?

Saya sudah mencoba yang berikut ini:

dsget user "DC=jxd123" -memberof

Kesalahan:

dsquery failed:'-memberof' is an unknown parameter.
type dsquery /? for help.

Anda dapat melakukan ini di PowerShell dengan mudah. Saya yakin Anda bisa melakukannya dengan alat ds juga, tapi mereka sudah tua dan kasar dan PowerShell harus digunakan untuk segala kemungkinan saat ini.

Import-Module ActiveDirectory
(Get-ADUser userName –Properties MemberOf | Select-Object MemberOf).MemberOf

Versi lebih pendek

(Get-ADUser userName –Properties MemberOf).MemberOf

Atau dengan perintah pengguna net ...

net user /domain username

Baris tunggal, tanpa modul yang diperlukan, menggunakan $ login pengguna saat ini ($ env: nama pengguna), berjalan dari mesin windows lain:

(New-Object System.DirectoryServices.DirectorySearcher("(&(objectCategory=User)(samAccountName=$($env:username)))")).FindOne().GetDirectoryEntry().memberOf

Qudos untuk artikel vbs / powershell ini: http://technet.microsoft.com/en-us/library/ff730963.aspx

Menemukan sumber daya yang baik:

http://social.technet.microsoft.com/wiki/contents/articles/2195.active-directory-dsquery-commands.aspx

Berikut cara melakukannya dari command prompt Windows:

dsquery user -samid jxd123 | dsget user -memberof | dsget group -samid

PowerShell:

Get-ADPrincipalGroupMembership -Identity jdoe | Format-Table -Property name

Jika Anda perlu melihat grup Anda sendiri, ada whoami /groups:

Menampilkan grup pengguna yang menjadi milik pengguna saat ini.

Keuntungan dari perintah ini net user /domain usernameadalah bahwa keanggotaan grup implisit juga ditampilkan dengan whoami.

Pendekatan lain: skrip PowerShell yang mencantumkan semua keanggotaan grup implisit dari token akun Windows. Bekerja pada sistem terbatas.

$token = [System.Security.Principal.WindowsIdentity]::GetCurrent() 
ForEach($group in $token.Groups){
    $group.Translate([System.Security.Principal.NTAccount])
}

dsquery user -samid "user id" | dsget user -memberof > userid_memberof.txt

$ADUser = Read-Host "Provide the AD User account"
Get-ADPrincipalGroupMembership -Identity $ADUser | Sort-Object name | Format-Table -Expand name

adfind adalah alat hebat untuk hal semacam ini. Ini adalah alat gratis dari MVP Joe Richards

http://www.joeware.net/freetools/tools/adfind/

Anda dapat menggunakan salah satu kekurangan

adfind -sc u:username memberof

Versi PowerShell ini hanya mengembalikan nama grup AD, bukan DN grup. Output 'select-object' dapat dengan mudah disalurkan ke CSV atau file uji.

(Get-ADUser ExampleUser –Properties MemberOf).memberof | Get-ADGroup | Select-Object name

Powershell, memberikan output yang bagus dan bersih.

(get-aduser USER -Properties MemberOf | select MemberOf).MemberOf | % {$_.split(",")[0].replace("CN=","")}

Berikut solusi mencari semua domain di bawah domain yang diberikan (dengan asumsi izin yang sesuai untuk setiap domain):

# provide the logon name here:
$user="alice"
$allGroups=@()

foreach ( $d in (Get-ADForest example.net).domains ) { Write-Output "Looking up $user in domain $d"; $allGroups += Get-ADPrincipalGroupMembership $user -ResourceContextServer $d }

$allGroups | ft name,GroupScope,distinguishedName -AutoSize

Menggunakan Get-ADPrincipalGroupMembership

Coba ini:

gpresult -V /user blah