获取用户所属的广告组列表

假设我在Active Directory中有一个用户的用户ID。我想获取该用户当前所属的所有AD组的列表。如何从Windows命令行执行此操作？

我尝试了以下方法：

dsget user "DC=jxd123" -memberof

错误：

dsquery failed:'-memberof' is an unknown parameter.
type dsquery /? for help.

您可以在PowerShell中轻松完成此操作。我敢肯定您也可以使用ds工具来做到这一点，但是它们既旧又硬，并且应将PowerShell用于当今的所有可能情况。

Import-Module ActiveDirectory
(Get-ADUser userName –Properties MemberOf | Select-Object MemberOf).MemberOf

短版

(Get-ADUser userName –Properties MemberOf).MemberOf

或使用net user命令...

net user /domain username

单行，无需模块，使用当前登录的用户$（$ env：username），从其他Windows计算机运行：

(New-Object System.DirectoryServices.DirectorySearcher("(&(objectCategory=User)(samAccountName=$($env:username)))")).FindOne().GetDirectoryEntry().memberOf

此vbs / powershell文章的Qudos：http ://technet.microsoft.com/zh-cn/library/ff730963.aspx

找到了一个很好的资源：

http://social.technet.microsoft.com/wiki/contents/articles/2195.active-directory-dsquery-commands.aspx

这是在Windows命令提示符下执行的方法：

dsquery user -samid jxd123 | dsget user -memberof | dsget group -samid

电源外壳：

Get-ADPrincipalGroupMembership -Identity jdoe | Format-Table -Property name

如果您需要查看自己的群组，则可以whoami /groups：

显示当前用户所属的用户组。

该命令的优势net user /domain username在于，隐式组成员身份也显示为whoami。

另一种方法：PowerShell脚本，该脚本列出Windows帐户令牌中的所有隐式组成员身份。在受限制的系统上工作。

$token = [System.Security.Principal.WindowsIdentity]::GetCurrent() 
ForEach($group in $token.Groups){
    $group.Translate([System.Security.Principal.NTAccount])
}

dsquery user -samid "user id" | dsget user -memberof > userid_memberof.txt

$ADUser = Read-Host "Provide the AD User account"
Get-ADPrincipalGroupMembership -Identity $ADUser | Sort-Object name | Format-Table -Expand name

adfind是用于此类事情的另一种出色工具。它是MVP Joe Richards提供的免费工具

http://www.joeware.net/freetools/tools/adfind/

您可以使用其中之一

adfind -sc u:username memberof

此PowerShell版本仅返回AD组名，而不返回组的DN。“选择对象”输出可以轻松地通过管道传输到CSV或测试文件。

(Get-ADUser ExampleUser –Properties MemberOf).memberof | Get-ADGroup | Select-Object name

Powershell，提供了一个漂亮干净的输出。

(get-aduser USER -Properties MemberOf | select MemberOf).MemberOf | % {$_.split(",")[0].replace("CN=","")}

这是一种搜索给定域下的所有域的解决方案（假设每个域都有适当的权限）：

# provide the logon name here:
$user="alice"
$allGroups=@()

foreach ( $d in (Get-ADForest example.net).domains ) { Write-Output "Looking up $user in domain $d"; $allGroups += Get-ADPrincipalGroupMembership $user -ResourceContextServer $d }

$allGroups | ft name,GroupScope,distinguishedName -AutoSize

使用Get-ADPrincipalGroupMembership

尝试这个：

gpresult -V /user blah