如何获得用户所属的所有组?


135

PowerShell的Get-ADGroupMembercmdlet返回特定组的成员。是否有cmdlet或属性来获取特定用户所属的所有组?


我已修正错误:Get-Member应该是Get-ADGroupMember


问题尚不清楚。您可以重新构架还是添加示例?
Mohit Chakraborty

1
请参阅stackoverflow.com/questions/668321/…technet.microsoft.com/en-us/library/dd315351.aspx。您确定Get-Member是否按照您的想法去做?
tiago2014 2011年

@Mohit Chakraborty现在更清楚了吗?
Primoz

1
您可以快速使用net user /domain username,还可以在“ 获取组”中
Mohamed

Answers:


282

Get-ADPrincipalGroupMembership将执行此操作。

Get-ADPrincipalGroupMembership username | select name

name
----
Domain Users
Domain Computers
Workstation Admins
Company Users
Company Developers
AutomatedProcessingTeam

1
这只是使我免于使用最费力和费力的查找方法。知道Powershell会有这样的东西,但在任何地方都找不到。+1
Tim Alexander

7
请注意,这取决于可用的ActiveDirectory模块。在运行PowerShell脚本的客户端计算机上或在低级客户端上,这不一定有效。如果要这样做,请使用此解决方案
Daniel.S 2014年

5
上面的代码给了我错误(“由于内部错误,服务器无法处理请求”-服务器上可能没有可用的功能)。 get-aduser $username -Properties memberof | select -expand memberof工作正常。
JohnLBevan

5
如果您使用的是Windows 10工作站而不是服务器,请从此处安装RSAT ,然后import-module activedirectory在powershell命令行上键入,然后此命令应运行。
James Toomey

3
如果未安装模块:Install-WindowsFeature RSAT-AD-PowerShell
Preben Huybrechts

81

单行,无需模块,使用当前登录的用户:

(New-Object System.DirectoryServices.DirectorySearcher("(&(objectCategory=User)(samAccountName=$($env:username)))")).FindOne().GetDirectoryEntry().memberOf

此vbs / powershell文章的Qudos:http ://technet.microsoft.com/zh-cn/library/ff730963.aspx


5
谢谢,我感谢这个无模块版本。我只是简单地将变量从更改$env:username$username并设置为,$username = "testuser"以便轻松地对其他用户查找进行变量替换。
projectdp

再次用谷歌搜索我的方式!在没有AD工具的随机情况下仍然有用。
内森

43

一种比Canoas发布的更简洁的替代方法,以获得当前登录用户的组成员身份。

我在此博客文章中遇到了这种方法:http : //www.travisrunyard.com/2013/03/26/auto-create-outlook-mapi-user-profiles/

([ADSISEARCHER]"samaccountname=$($env:USERNAME)").Findone().Properties.memberof

更好的版本使用正则表达式剥离LDAP guff,仅保留组名:

([ADSISEARCHER]"samaccountname=$($env:USERNAME)").Findone().Properties.memberof -replace '^CN=([^,]+).+$','$1'

可以在脚本专家博客上找到有关使用[ADSISEARCHER]类型加速器的更多详细信息:http : //blogs.technet.com/b/heyscriptingguy/archive/2010/08/24/use-the-powershell-adsisearcher-type -accelerator-to-search-active-directory.aspx


1
这两个都给我带来错误:用“ 0”作为参数调用“ FindOne”的异常:“ samaccountname =搜索过滤器无效。”
达拉斯

奇怪。。。我刚刚再次测试,但是在完全不同的Windows 7环境下,它在这里也能正常工作。
Daniel.S

我刚才还是在Win 7上再次尝试过,它确实可以正常工作。也许当我第一次尝试时有错字。感谢您添加替换以删除森林“ guff”。
达拉斯

2
很好地工作,附加| Sort-Object使其更具可读性。
Martin Hollingsworth '18年

31

从CMD过去的方式:

net user mst999 /domain 

1
它也适用于客户机无需额外的AD工具
拉斯特

4
不幸的是-如果您的组名很长(即> 21个字符),则会截断它们……
kiltannen

那一个击败其他方式!喝彩
-StayCool

24
(GET-ADUSER Identity USERNAME Properties MemberOf | Select-Object MemberOf).MemberOf

谢谢!这工作。唯一的缺点是返回的值是一个字符串。
shaiss 2012年

3
| get-adgroup将输出组对象。辉煌!
2014年

1
或者,使用$ env:USERNAME代替当前登录用户的用户名
Dave Lucre

6

如果无法使Get-ADPrincipalGroupMembership正常工作,则可以尝试以该用户身份登录然后使用。

$id = [Security.Principal.WindowsIdentity]::GetCurrent()
$groups = $id.Groups | foreach-object {$_.Translate([Security.Principal.NTAccount])}
$groups | select *

如果您使用类似的东西,也不需要以用户身份登录$id = [Security.Principal.WindowsIdentity]("username")
Bitcoin Murderous Maniac

1
这很好地缩短了单线[System.Security.Principal.WindowsIdentity]::GetCurrent().Groups | % {$_.Translate([Security.Principal.NTAccount])}
alx9r

5

获取用户的组成员身份:

$strUserName = "Primoz"
$strUser = get-qaduser -SamAccountName $strUserName
$strUser.memberof

请参阅获取用户的组成员身份

另请参阅Quest的Active Directory免费PowerShell命令

[ 编辑GET-ADPrincipalGroupMembership因为与Windows 2008 R2 V2包括在PowerShell命令。请参阅下面的kstrauss回答。]


2
实际上,使用Quest cmdlet可以有一种更简单的方法:Get-QADGroup-包含Primoz
fenster 2011年

18
这已不再是最佳答案,因为PowerShell中已内置Get-ADPrincipalGroupMembership
Rob Cannon

1
投票结束,因为使用Get-ADPrincipalGroupMembership会更好。我想撤消这次投票,但我不能。我将编辑答案以指出内置选项现在存在。
亚伯拉罕

4

Get-Member是用于列出.NET成员的cmdlet object。这与用户/组成员身份无关。您可以像这样获得当前用户的组成员身份:

PS> [System.Security.Principal.WindowsIdentity]::GetCurrent().Groups | 
         Format-Table -auto

BinaryLength AccountDomainSid    Value
------------ ----------------    -----
          28 S-1-5-21-...        S-1-5-21-2229937839-1383249143-3977914998-513
          12                     S-1-1-0
          28 S-1-5-21-...        S-1-5-21-2229937839-1383249143-3977914998-1010
          28 S-1-5-21-...        S-1-5-21-2229937839-1383249143-3977914998-1003
          16                     S-1-5-32-545
...

如果您需要访问任意用户的组信息,则@tiagoinu建议使用Quest AD cmdlet是更好的方法。


4

首先,导入activedirectory模块:

import-module activedirectory

然后发出以下命令:

Get-ADGroupMember -Identity $group | foreach-object {
    Write-Host $_.SamAccountName
}

这将显示指定组的成员。


OP要求相反。获取指定用户所属的所有组。
2014年

4

如果只是一个简单的衬纸,则不需要长脚本。

QUEST命令

(Get-QADUser -Identity john -IncludedProperties MemberOf | Select-Object MemberOf).MemberOf

MS AD命令

(GET-ADUSER Identity john Properties MemberOf | Select-Object MemberOf).MemberOf

我发现MS AD cmd更快,但有些人喜欢Quest的人更好。

史蒂夫


4

Get-Member不是用于获取用户的组成员身份。如果要获取用户在本地系统上所属的组的列表,可以通过以下方法实现:

$query = "ASSOCIATORS OF {Win32_Account.Name='DemoUser1',Domain='DomainName'} WHERE ResultRole=GroupComponent ResultClass=Win32_Account"

Get-WMIObject -Query $query | Select Name

在上面的查询中,将DemoUser1替换为所需的用户名,将DomainName替换为本地计算机名或域名。


此查询非常耗时,并且在环境中有多个用户和组时响应非常慢
randeepsp 2015年

谁在编辑答案,请确保您以正确的方式进行编辑。我建议OP用他想要的任何用户名替换DemoUser1。而且,您完全改变了这个意思。
ravikanth

4

用:

Get-ADPrincipalGroupMembership username | select name | export-CSV username.csv

这会将命令的输出传递到CSV文件中。


4

这应该为您提供当前用户的详细信息。不需要Powershell。

whoami /groups


3

这只是一行:

(get-aduser joe.bloggs -properties *).memberof

结束 :)


将其输给a select -expandproperty memberof将使输出更加可读/有用。
本图尔

2

我编写了一个名为Get-ADPrincipalGroupMembershipRecursive的PowerShell函数。它接受用户,计算机,组或服务帐户的DSN。它从帐户的memberOf属性中检索组的初始列表,然后递归检查这些组的成员资格。缩写代码如下。完整的源代码和注释可以在这里找到

function Get-ADPrincipalGroupMembershipRecursive( ) {

    Param(
        [string] $dsn,
        [array]$groups = @()
    )

    $obj = Get-ADObject $dsn -Properties memberOf

    foreach( $groupDsn in $obj.memberOf ) {

        $tmpGrp = Get-ADObject $groupDsn -Properties memberOf

        if( ($groups | where { $_.DistinguishedName -eq $groupDsn }).Count -eq 0 ) {
            $groups +=  $tmpGrp           
            $groups = Get-ADPrincipalGroupMembershipRecursive $groupDsn $groups
        }
    }

    return $groups
}

# Simple Example of how to use the function
$username = Read-Host -Prompt "Enter a username"
$groups   = Get-ADPrincipalGroupMembershipRecursive (Get-ADUser $username).DistinguishedName
$groups | Sort-Object -Property name | Format-Table

2

以下效果很好:

get-aduser $username -Properties memberof | select -expand memberof

如果您有用户列表:

$list = 'administrator','testuser1','testuser2'
$list | `
    %{  
        $user = $_; 
        get-aduser $user -Properties memberof | `
        select -expand memberof | `
        %{new-object PSObject -property @{User=$user;Group=$_;}} `
    }

1

Get-QADUser -SamAccountName登录ID | %{$ _。MemberOf} | Get-QADGroup | 选择名字


1

我无法使以下内容适用于特定用户:

Get-ADPrincipalGroupMembership username

它抛出了一个我不愿意解决的错误。

但是,我确实使用Get-ADUser提出了另一种解决方案。我更喜欢它,因为如果您不知道帐户名,则可以根据用户的真实姓名使用通配符来获取它。只需填写PartOfUsersName即可

#Get the groups that list of users are the member of using a wildcard search

[string]$UserNameLike = "*PartOfUsersName*" #Use * for wildcards here
[array]$AccountNames = $(Get-ADUser -Filter {Name -like $UserNameLike}).SamAccountName

ForEach ($AccountName In $AccountNames) {
Write-Host "`nGETTING GROUPS FOR" $AccountName.ToUpper() ":"
(Get-ADUser -Identity $AccountName -Properties MemberOf|select MemberOf).MemberOf|
    Get-ADGroup|select Name|sort name
    }

schmeckendeugler和8DH的巨大道具让我着迷于此解决方案。+1。


1

尽管这里有许多出色的答案,但我个人一直在寻找一个缺失的答案。一旦弄清楚了,我想应该把它发布出来,以防日后找到它,否则它实际上可以在某个时候帮助其他人:

Get-ADPrincipalGroupMembership username | Format-Table -auto

呈现这种情况的第二种方法是指定您感兴趣的各个列,例如:

Get-ADPrincipalGroupMembership username | select name, GroupScope, GroupCategory

这为用户名所属的所有AD组提供了-而且还以表格的形式显示了每个组的所有默认属性。

这给您的主要好处是您可以一目了然地看到哪些是通讯组列表,哪些是安全组。您可以一目了然地看到哪些是通用的,哪些是DomainLocal的,哪些是全球的。
您为什么还要关心这最后一点?

  • 通用组是一个安全或分发组,其中包含来自林中任何域的用户,组和计算机作为成员。您可以对目录林中任何域中的资源授予通用安全组权限。
  • 全局组是可以在其自己的域,该域的成员服务器和工作站中以及在信任域中使用的组。在所有这些位置中,您可以授予全局组权限,并且全局组可以成为本地组的成员。但是,全局组可以包含仅来自其自己域的用户帐户。
  • 域本地组是一个安全或分发组,可以包含通用组,全局组,其自身域中的其他域本地组以及林中任何域中的帐户。您可以授予域本地安全组对仅位于域本地组所在域中的资源的权限。

0
Import-Module ActiveDirectory
Get-ADUser -SearchBase "OU=Users,DC=domain,DC=local" -Filter * | foreach-object {
write-host "User:" $_.Name -foreground green
    Get-ADPrincipalGroupMembership $_.SamAccountName | foreach-object {
        write-host "Member Of:" $_.name
    }
}

更改-SearchBase的值以反映从以下列表中列出用户所需的OU:

这将列出该OU中的所有用户,并向您显示他们所属的组。



0
   Get-ADUser -Filter { memberOf -RecursiveMatch "CN=Administrators,CN=Builtin,DC=Fabrikam,DC=com" } -SearchBase "CN=Administrator,CN=Users,DC=Fabrikam,DC=com"  -SearchScope Base
                  ## NOTE: The above command will return the user object (Administrator in this case) if it finds a match recursively in memberOf attribute. 

0

这是获取名称的最简单方法:

Get-ADPrincipalGroupMembership "YourUserName"

# Returns distinguishedName : CN=users,OU=test,DC=SomeWhere GroupCategory : Security GroupScope : Global name : testGroup objectClass : group objectGUID : 2130ed49-24c4-4a17-88e6-dd4477d15a4c SamAccountName : testGroup SID : S-1-5-21-2114067515-1964795913-1973001494-71628

添加一条select语句以修剪响应或使OU中的每个用户成为用户所在的每个组:

foreach ($user in (get-aduser -SearchScope Subtree -SearchBase $oupath -filter * -Properties samaccountName, MemberOf | select samaccountName)){ Get-ADPrincipalGroupMembership $user.samaccountName | select name}


0

要使其递归,可以使用:

<# 
    .SYNOPSIS   
        Get all the groups that a user is MemberOf.

    .DESCRIPTION
        This script retrieves all the groups that a user is MemberOf in a recursive way.

    .PARAMETER SamAccountName
        The name of the user you want to check #>

Param (
    [String]$SamAccountName = 'test',
    $DomainUsersGroup = 'CN=Domain Users,CN=Users,DC=domain,DC=net'
)


Function Get-ADMemberOf {
    Param (
        [Parameter(ValueFromPipeline)]
        [PSObject[]]$Group,
        [String]$DomainUsersGroup = 'CN=Domain Users,CN=Users,DC=grouphc,DC=net'
    )
    Process {
        foreach ($G in $Group) {
            $G | Get-ADGroup | Select -ExpandProperty Name
            Get-ADGroup $G -Properties MemberOf| Select-Object Memberof | ForEach-Object {
                Get-ADMemberOf $_.Memberof
            }
        }
    }
}


$Groups = Get-ADUser $SamAccountName -Properties MemberOf | Select-Object -ExpandProperty MemberOf
$Groups += $DomainUsersGroup
$Groups | Get-ADMemberOf | Select -Unique | Sort-Object

0

几乎所有上述解决方案都使用该ActiveDirecotry模块,该模块在大多数情况下可能默认情况下不可用。

我用下面的方法。有点间接,但达到了我的目的。

列出所有可用的组

Get-WmiObject -Class Win32_Group

然后列出用户所属的组

[System.Security.Principal.WindowsIdentity]::GetCurrent().Groups

然后可以通过进行比较来进行比较SIDs。这适用于已登录的用户。如果我错了,请纠正我。这是PowerShell的全新功能,但必须完成此工作才能完成工作。


如果要检查已经是Administrator组成员的用户,请确保通过“以管理员身份运行”启动PowerShell,否则对于第二个命令,这些组将无法正确列出...花了相当长的时间才能确定窗户...
瑞丰马

0

使用用户输入和精美的输出格式:

[CmdletBinding(SupportsShouldProcess=$True)] 
Param( 
    [Parameter(Mandatory = $True)] 
    [String]$UserName 
) 
Import-Module ActiveDirectory 
If ($UserName) { 
    $UserName = $UserName.ToUpper().Trim() 
    $Res = (Get-ADPrincipalGroupMembership $UserName | Measure-Object).Count 
    If ($Res -GT 0) { 
        Write-Output "`n" 
        Write-Output "$UserName AD Group Membership:" 
        Write-Output "===========================================================" 
        Get-ADPrincipalGroupMembership $UserName | Select-Object -Property Name, GroupScope, GroupCategory | Sort-Object -Property Name | FT -A 
    } 
}

0

将其放在此处以供将来参考。我正在进行电子邮件迁移。我需要了解每个用户帐户及其各自的组成员身份,并且还需要了解每个组及其各自的成员。

我正在使用下面的代码块为每个用户的组成员资格输出CSV。

Get-ADUser -Filter * |`
  ForEach-Object { `
    $FileName = $_.SamAccountName + ".csv" ; `
    $FileName ; `
    Get-ADPrincipalGroupMembership $_ | `
      Select-Object -Property SamAccountName, name, GroupScope, GroupCategory | `
        Sort-Object -Property SamAccountName | `
          Export-Csv -Path $FileName -Encoding ASCII ; `
  }

小组及其各自成员的导出过程有些复杂,但以下方法可行。输出文件名包括组的类型。因此,我需要的电子邮件通讯组是(应该是)通用和全球通讯组。我应该能够删除或移动不需要的结果TXT文件。

Get-ADGroup -Filter * | `
 Select-Object -Property Name, DistinguishedName, GroupScope, GroupCategory | `
  Sort-Object -Property GroupScope, GroupCategory, Name | `
   Export-Csv -Path ADGroupsNew.csv -Encoding ASCII

$MyCSV = Import-Csv -Path .\ADGroupsNew.csv -Encoding ASCII

$MyCSV | `
 ForEach-Object { `
  $FN = $_.GroupScope + ", " + $_.GroupCategory + ", " + $_.Name + ".txt" ; `
  $FN ; `
  Get-ADGroupMember -Identity $_.DistinguishedName | `
   Out-File -FilePath $FN -Encoding ASCII ; $FN=""; `
  }

0

研究提出的所有评论为我提供了一个起点(为此感谢),但给我留下了几个未解决的问题。结果,这就是我的答案。提供的代码段比要求的功能多了一点,但提供了有用的调试信息。

[array] $script:groupsdns = @()
function Get-ADPrincipalGroupMembershipRecursive() 
{
  Param( [string] $dn, [int] $level = 0, [array] $groups = @() )

  #if(($groupsdns | where { $_.DistinguishedName -eq $dn }).Count -ne 0 ) { return $groups } # dependency on next statement
  #$groupsdns += (Get-ADObject $dn -Properties MemberOf) # Get-ADObject cannot find an object with identity
  if ($script:groupsdns.Contains($dn)) { return $groups }
  $script:groupsdns += $dn
  $mo = $Null
  $mo = Get-ADObject $dn -Properties MemberOf # Get-ADObject cannot find an object with identity
  $group = ($dn + " (" + $level.ToString())
  if ($mo -eq $Null) { $group += "!" }
  $group += ")"
  $groups += $group
  foreach( $groupdn in $mo.MemberOf )
  {
    $groups = Get-ADPrincipalGroupMembershipRecursive -dn $groupdn -level ($level+1) -groups $groups
  }
  if ($level -le 0) 
  { 
    $primarygroupdn = (Get-ADUser -Identity $dn -Properties PrimaryGroup).PrimaryGroup 
    $groups = Get-ADPrincipalGroupMembershipRecursive -dn $primarygroupdn -level ($level+1) -groups $groups
  }
  return $groups
}
$adusergroups = Get-ADPrincipalGroupMembershipRecursive -dn $aduser.DistinguishedName
$adusergroups | ft -AutoSize | `
              Out-File -Width 512 Get-ADPrincipalGroupMembershipRecursive.txt #-Append #-Wrap # | Sort-Object -Property Name

对不起,我忘了澄清。首先执行以下操作:$ aduserDistinguishedName =“ CN = name,OU = ...” $ aduser = Get-ADUser -Identity $ aduserDistinguishedName -Properties *
ES44AC SD70MAC

0

如果您没有特权咨询其他成员组,但确实拥有特权咨询组成员,则可以执行以下操作来构建一个地图,以了解哪些用户有权访问哪些组。

$groups = get-adgroup -Filter * | sort name | select Name
$users = @{}
foreach($group in $groups) {
    $groupUsers = @()
    $groupUsers = Get-ADGroupMember -Identity $group.Name | Select-Object SamAccountName
    $groupUsers | % {
        if(!$users.ContainsKey($_.SamAccountName)){
            $users[$_.SamAccountName] = @()
        }
        ($users[$_.SamAccountName]) += ($group.Name)
    }
}
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.