Consultar membros de um grupo do Active Directory

Question

Portanto, no diretório ativo, há um grupo chamado WebSiteUsers que está sendo usado para permitir o acesso a uma pasta que estou hospedando via IIS. Eu queria saber (usando o DSQuery, ADFind ou qualquer ferramenta disponível gratuitamente) como fazer o seguinte:

1. Como faço para consultar o nome distinto de WebSiteUsers (vamos supor está enterrado algumas UO's no AD)?

2. Como faço para consultar WebSiteUsers para produzir uma lista de usuários (em humanos formato legível) que eu posso comparar com outro grupo para fazer Certifique-se de que todas as pessoas que precisam de acesso a este recurso tenham sido adicionado? Para este exemplo, assuma que WebSiteUsers tem alguns milhares contas adicionadas a ele para que a inspeção visual não seja uma opção. Eu preferiria usar o excel para comparar as listas de usuários, então exportando um CSV ou algum tipo de arquivo de texto que eu possa manipular no excel seria ideal.

Answer 1

Para encontrar o DN, execute o comando dsquery group -name WebSiteUsers

Se você tiver um controlador de domínio configurado para o PowerShell (você deve; é incrível), será possível executar o comando $WebSiteUsers = Get-ADUser -Filter {memberOf -RecursiveMatch CN=WebSiteUsers,OU=Lemings,OU=CorporateBranch,DC=example,DC=com' e $WebSiteUsers | Export-CSV para a saída para um CSV. Você também pode usar o comando Compare-Object da seguinte forma:

$WebSiteUsers = Get-ADUser -Filter {memberOf -RecursiveMatch CN=WebSiteUsers,OU=Lemings,OU=CorporateBranch,DC=example,DC=com'
$OtherGroupUsers = Get-ADUser -Filter {memberOf -RecursiveMatch CN=OtherGroups,OU=Lemings,OU=CorporateBranch,DC=example,DC=com'
Compare-Object -ReferenceObject $WebSiteUsers -DifferenceObject $OtherGroupUsers -Property Name

Isso elimina uma lista de nomes que são deixados de fora de um grupo ou de outro. (Adicione -IncludeEqual se você quiser ver todos.) Isso tornará a inspeção visual muito mais fácil:

Jim Bob                      =>                                                                                               
Suzie Q                      <=                                                                                               
Harold Johnson               <=  

Se você quiser adicionar todos que são membros do outro grupo ao grupo WebSiteUsers:

Compare-Object $OtherGroupUsers $WebSiteUsers | Where {$_.SideIndicator -eq '=>'} | foreach{Add-ADGroupMember -Identity WebSiteUsers -Members $_}

Pode não prejudicar a adição de um -WhatIf no comando Add-ADGroupMember para verificar novamente o que pretende fazer.

Você também pode obter essa lista usando o snap-in Usuários e computadores do Active Directory. Você precisará do RSAT instalado para fazer isso em sua estação de trabalho, caso contrário você poderá remoto em um controlador de domínio e abri-lo.

Clique com o botão direito do mouse em Consultas salvas e selecione Novo, Consulta:

Dêumnomeeumadescriçãoabreviada,emseguida,cliqueemDefinirConsulta:

Em Find: selecione Custom Search . Clique em Field e selecione User, Member Of

DigiteonomedogrupoquevocêdesejaincluirecliqueemAdicionar:

Agora você pode ver esta lista no ADUC. Para exportá-lo, clique no botão Exportar lista. Isso resultará em um arquivo de texto delimitado por tabulações.