检查给定的用户是否具有给定的特权

给定一对用户和一个特权，我需要确定用户在服务器上是否具有特权。在我的设置中，以下是正确的：

• 服务器是域的一部分，但不是域控制器
• 基础架构中有几个具有信任关系的域
• 有时，用户（本地，域或来自其他域）可以凭借属于其他组（域或本地）的优点而属于本地组，而不是直接属于该组。

最后一点的示例方案：

• 用户1属于域A中的组TeamA
• DomaimA \ TeamA是DomainB \ SpecialAccess的成员
• DomainB \ SpecialAccess是DomainB \ DomainAdmins的成员
• 最后，DomainB \ DomainAdmins属于本地管理员组
• 本地管理员组具有SeRemoteInteractiveLogonRight特权

现在，如果我在输入DomainA \ User1和SeRemoteInteractiveLogonRight上输入，则需要输入是或否答案。因此，我在计算机上打开了“本地策略”，请注意我也对右边列出了哪些组，然后去服务器管理器，查看组成员中的成员，然后我需要查看这些组中任何组的成员等等。

我有一种直觉，感觉会更容易。当我发现AccessChk实用程序时，我感到非常兴奋。它持续了整整三分钟，让我发现它只列出直接关系，因此不会列出组内的用户。

现在，我猜测可以将AccessChk的结果进行某种方式的组合，以便我可以检查用户是否属于AccessChk返回的任何组，但是鉴于它不是单个域，而是其中的几个不知道该如何处理。另外，AccessChk的输出似乎无法区分组和用户。

编辑：本着不陷入XY问题陷阱的精神，我真正需要做的是确保在一组服务器上没有用作IIS应用程序池标识的特定用户帐户具有SeInteractiveLogonRight或SeRemoteInteractiveLogonRight特权。我的IIS部分没有问题，但是检查帐户是否具有特权的最后一步是我在努力寻找一种简单的检查方法。我还想使检查自动化，因为这需要定期进行。

访问令牌不具有有关权限的信息，而仅具有特权。

您需要做的是：

• 查找与您的应用程序池相对应的IIS工作进程。由于您知道应用程序池标识，通过使用工作进程名称来枚举所有进程并过滤具有该标识的应用程序池，应该很容易。如果有多个，则可以使用任何一个。
• 将GetTokenInformation与TokenGroup信息类一起使用，而不对进程令牌使用TokenPrivilege。结果还将为您提供该身份所属的所有传递性组。这意味着甚至是间接的。
• 现在，您可以遍历这些组，并在每个组上调用LsaEnumerateAccountRights并整理信息。这会给你你想要的。

以上内容依赖于与帐户身份相对应的流程（和令牌）的存在。在您的情况下，这应该不是问题。在存在问题的情况下，您可以尝试对令牌组计算属性使用Active Directory查找。本文列出了几种实现此目标的方法。