Liste der AD-Gruppen abrufen, denen ein Benutzer angehört

Angenommen, ich habe die Benutzer-ID eines Benutzers in Active Directory. Ich möchte eine Liste aller AD-Gruppen erhalten, in denen dieser Benutzer derzeit Mitglied ist. Wie kann ich das von der Windows-Befehlszeile aus tun?

Ich habe Folgendes versucht:

dsget user "DC=jxd123" -memberof

Error:

dsquery failed:'-memberof' is an unknown parameter.
type dsquery /? for help.

Sie können dies in PowerShell ganz einfach tun. Ich bin mir sicher, dass Sie dies auch mit den ds-Tools tun können, aber sie sind alt und verkrustet und PowerShell sollte heutzutage für alles verwendet werden, was möglich ist.

Import-Module ActiveDirectory
(Get-ADUser userName –Properties MemberOf | Select-Object MemberOf).MemberOf

Kürzere Version

(Get-ADUser userName –Properties MemberOf).MemberOf

Oder mit dem net user Befehl ...

net user /domain username

Einzelne Zeile, keine Module erforderlich, verwendet den aktuell angemeldeten Benutzer $ ($ env: username), wird von anderen Windows-Computern ausgeführt:

(New-Object System.DirectoryServices.DirectorySearcher("(&(objectCategory=User)(samAccountName=$($env:username)))")).FindOne().GetDirectoryEntry().memberOf

Qudos zu diesem VBS / Powershell-Artikel: http://technet.microsoft.com/en-us/library/ff730963.aspx

Eine gute Ressource gefunden:

http://social.technet.microsoft.com/wiki/contents/articles/2195.active-directory-dsquery-commands.aspx

So machen Sie es an der Windows-Eingabeaufforderung:

dsquery user -samid jxd123 | dsget user -memberof | dsget group -samid

Power Shell:

Get-ADPrincipalGroupMembership -Identity jdoe | Format-Table -Property name

Wenn Sie Ihre eigenen Gruppen sehen müssen, gibt es whoami /groups:

Zeigt die Benutzergruppen an, zu denen der aktuelle Benutzer gehört.

Der Vorteil dieses Befehls gegenüber net user /domain usernameist, dass implizite Gruppenmitgliedschaften auch mit angezeigt werden whoami.

Ein weiterer Ansatz: Ein PowerShell-Skript, das alle impliziten Gruppenmitgliedschaften aus dem Windows-Kontotoken auflistet. Funktioniert auf einem eingeschränkten System.

$token = [System.Security.Principal.WindowsIdentity]::GetCurrent() 
ForEach($group in $token.Groups){
    $group.Translate([System.Security.Principal.NTAccount])
}

dsquery user -samid "user id" | dsget user -memberof > userid_memberof.txt

$ADUser = Read-Host "Provide the AD User account"
Get-ADPrincipalGroupMembership -Identity $ADUser | Sort-Object name | Format-Table -Expand name

adfind ist ein weiteres großartiges Tool für diese Art von Dingen. Es ist ein kostenloses Tool von MVP Joe Richards

http://www.joeware.net/freetools/tools/adfind/

Sie können eine der Abkürzungen verwenden

adfind -sc u:username memberof

Diese PowerShell-Version gibt nur die AD-Gruppennamen und nicht den DN der Gruppe zurück. Die Ausgabe von 'select-object' kann problemlos an eine CSV- oder Testdatei weitergeleitet werden.

(Get-ADUser ExampleUser –Properties MemberOf).memberof | Get-ADGroup | Select-Object name

Powershell, gibt eine schöne und saubere Ausgabe.

(get-aduser USER -Properties MemberOf | select MemberOf).MemberOf | % {$_.split(",")[0].replace("CN=","")}

Hier ist eine Lösung, die alle Domains unter der angegebenen Domain durchsucht (unter der Voraussetzung, dass für jede Domain die richtige Berechtigung vorliegt):

# provide the logon name here:
$user="alice"
$allGroups=@()

foreach ( $d in (Get-ADForest example.net).domains ) { Write-Output "Looking up $user in domain $d"; $allGroups += Get-ADPrincipalGroupMembership $user -ResourceContextServer $d }

$allGroups | ft name,GroupScope,distinguishedName -AutoSize

Verwenden von Get-ADPrincipalGroupMembership

Versuche dies:

gpresult -V /user blah