Obtenir la liste des groupes AD dont un utilisateur est membre

Supposons que j'ai l'identifiant d'un utilisateur dans Active Directory. Je voudrais obtenir une liste de tous les groupes AD dans lesquels cet utilisateur est actuellement membre. Comment puis-je faire cela à partir de la ligne de commande Windows?

J'ai essayé ce qui suit:

dsget user "DC=jxd123" -memberof

Erreur:

dsquery failed:'-memberof' is an unknown parameter.
type dsquery /? for help.

Vous pouvez le faire dans PowerShell assez facilement. Je suis sûr que vous pouvez le faire aussi avec les outils ds, mais ils sont vieux et croustillants et PowerShell devrait être utilisé pour tout ce qui est possible de nos jours.

Import-Module ActiveDirectory
(Get-ADUser userName –Properties MemberOf | Select-Object MemberOf).MemberOf

Version plus courte

(Get-ADUser userName –Properties MemberOf).MemberOf

Ou avec la commande net user ...

net user /domain username

Une seule ligne, aucun module nécessaire, utilise l’utilisateur connecté actuel $ ($ env: nomutilisateur), s’exécute à partir d’autres machines Windows:

(New-Object System.DirectoryServices.DirectorySearcher("(&(objectCategory=User)(samAccountName=$($env:username)))")).FindOne().GetDirectoryEntry().memberOf

Qudos à cet article vbs / powershell: http://technet.microsoft.com/en-us/library/ff730963.aspx

Trouvé une bonne ressource:

http://social.technet.microsoft.com/wiki/contents/articles/2195.active-directory-dsquery-commands.aspx

Voici comment procéder à partir d'une invite de commande Windows:

dsquery user -samid jxd123 | dsget user -memberof | dsget group -samid

PowerShell:

Get-ADPrincipalGroupMembership -Identity jdoe | Format-Table -Property name

Si vous avez besoin de voir vos propres groupes, il y a whoami /groups:

Affiche les groupes d'utilisateurs auxquels l'utilisateur actuel appartient.

L'avantage de cette commande net user /domain usernameest que les appartenances implicites à un groupe sont également affichées avec whoami.

Une autre approche: un script PowerShell qui répertorie toutes les appartenances implicites à un groupe à partir du jeton de compte Windows. Fonctionne sur un système restreint.

$token = [System.Security.Principal.WindowsIdentity]::GetCurrent() 
ForEach($group in $token.Groups){
    $group.Translate([System.Security.Principal.NTAccount])
}

dsquery user -samid "user id" | dsget user -memberof > userid_memberof.txt

$ADUser = Read-Host "Provide the AD User account"
Get-ADPrincipalGroupMembership -Identity $ADUser | Sort-Object name | Format-Table -Expand name

Adfind est un autre excellent outil pour ce genre de chose. C'est un outil gratuit de MVP Joe Richards

http://www.joeware.net/freetools/tools/adfind/

Vous pouvez utiliser l'un des raccourcis

adfind -sc u:username memberof

Cette version de PowerShell ne renvoie que les noms de groupe AD, plutôt que le DN du groupe. La sortie 'select-object' peut facilement être redirigée vers un fichier CSV ou un fichier de test.

(Get-ADUser ExampleUser –Properties MemberOf).memberof | Get-ADGroup | Select-Object name

Powershell, donne une sortie agréable et propre.

(get-aduser USER -Properties MemberOf | select MemberOf).MemberOf | % {$_.split(",")[0].replace("CN=","")}

Voici une solution recherchant tous les domaines dans le domaine donné (en supposant que l’autorisation appropriée est attribuée à chaque domaine):

# provide the logon name here:
$user="alice"
$allGroups=@()

foreach ( $d in (Get-ADForest example.net).domains ) { Write-Output "Looking up $user in domain $d"; $allGroups += Get-ADPrincipalGroupMembership $user -ResourceContextServer $d }

$allGroups | ft name,GroupScope,distinguishedName -AutoSize

Utilisation de Get-ADPrincipalGroupMembership

Essaye ça:

gpresult -V /user blah