Consulta AD: contas desabilitadas ainda em grupos

Question

É possível ter uma consulta que encontre todos os usuários no Active Directory desativados, mas que também sejam membros de ALL grupos - ou Todos os grupos, exceto 1?

Tentei o seguinte:

(&(objectCategory=person)(objectClass=user)(userAccountControl:1.2.840.113556.1.4.803:=2)(objectCategory=group)(name=*))

    

Answer 1

Isso é fácil com o Powershell:

Get-ADUser -filter {enabled -eq $false} -properties memberof | where { ($_.memberof | measure).count -gt 1} | select samaccountname,name

Na primeira parte, você obtém todos os usuários que estão desabilitados e obtém a propriedade memberof (não incluída por padrão). A segunda parte, você measure a propriedade memberof , então obtenha o count e verifique se é gt (Maior que) 1.