ユーザーがメンバーになっているすべてのグループを取得する方法
PowerShellの Get-ADGroupMember コマンドレットは、特定のグループのメンバーを返します。特定のユーザーがメンバーになっているすべてのグループを取得するためのコマンドレットまたはプロパティがありますか。
私は間違いを直しました： Get-Member はGet-ADGroupMemberであるべきです。
Get-ADPrincipalGroupMembershipがこれを行います。
Get-ADPrincipalGroupMembership username | select name
name
----
Domain Users
Domain Computers
Workstation Admins
Company Users
Company Developers
AutomatedProcessingTeam
単一行、モジュールは不要、現在のログインユーザを使用：
(New-Object System.DirectoryServices.DirectorySearcher("(&(objectCategory=User)(samAccountName=$($env:username)))")).FindOne().GetDirectoryEntry().memberOf
このvbs/powershellの記事への賛辞： http://technet.Microsoft.com/ja-jp/library/ff730963.aspx
現在ログオンしているユーザーのグループメンバーシップを取得するために、Canoasによって投稿されたものに代わる、より簡潔な代替方法。
私はこのブログ記事でこの方法に遭遇しました。 http://www.travisrunyard.com/2013/03/26/auto-create-Outlook-mapi-user-profiles/
([ADSISEARCHER]"samaccountname=$($env:USERNAME)").Findone().Properties.memberof
LDAP guffを取り除き、グループ名だけを残すために正規表現を使うもっと良いバージョン。
([ADSISEARCHER]"samaccountname=$($env:USERNAME)").Findone().Properties.memberof -replace '^CN=([^,]+).+$','$1'
[ADSISEARCHER]型アクセラレータの使用方法の詳細については、スクリプティングガイのブログを参照してください。 http://blogs.technet.com/b/heyscriptingguy/archive/2010/08/24/ powershell-adsisearcherタイプを使用して、アクティブディレクトリを検索するためのアクセラレータ.aspx
(GET-ADUSER –Identity USERNAME –Properties MemberOf | Select-Object MemberOf).MemberOf
CMDからのオールドスクールウェイ：
Net User mst999 /domain
ユーザーのグループメンバーシップを取得します。
$strUserName = "Primoz"
$strUser = get-qaduser -SamAccountName $strUserName
$strUser.memberof
ユーザーのグループメンバーシップを取得するを参照してください。
しかし、Questの Active Directory用の無料PowerShellコマンド も参照してください。
[編集：Get-ADPrincipalGroupMembershipコマンドは、Windows 2008 R2 v2以降のPowershellに含まれています。下記のkstraussの答えをご覧ください。]
Get-Memberは、ユーザーのグループメンバーシップを取得するためのものではありません。ローカルシステムでユーザーが属するグループのリストを取得したい場合は、次のようにして実行できます。
$query = "ASSOCIATORS OF {Win32_Account.Name='DemoUser1',Domain='DomainName'} WHERE ResultRole=GroupComponent ResultClass=Win32_Account"
Get-WMIObject -Query $query | Select Name
上記のクエリで、DemoUser1を目的のユーザー名に、DomainNameをローカルコンピュータ名またはドメイン名のいずれかに置き換えます。
シンプルなワンライナーであれば、長いスクリプトは必要ありません。
QUESTコマンド
(Get-QADUser -Identity john -IncludedProperties MemberOf | Select-Object MemberOf).MemberOf
MS ADコマンド
(GET-ADUSER –Identity john –Properties MemberOf | Select-Object MemberOf).MemberOf
私はMS ADのcmdが速いと思いますが、Questのものが好きな人もいます。
スティーブ
Get-Memberは、.NET objectのメンバを一覧表示するためのコマンドレットです。これはユーザーまたはグループのメンバーシップとは関係ありません。現在のユーザーのグループメンバーシップは、次のようにして取得できます。
PS> [System.Security.Principal.WindowsIdentity]::GetCurrent().Groups |
Format-Table -auto
BinaryLength AccountDomainSid Value
------------ ---------------- -----
28 S-1-5-21-... S-1-5-21-2229937839-1383249143-3977914998-513
12 S-1-1-0
28 S-1-5-21-... S-1-5-21-2229937839-1383249143-3977914998-1010
28 S-1-5-21-... S-1-5-21-2229937839-1383249143-3977914998-1003
16 S-1-5-32-545
...
任意のユーザーのグループ情報にアクセスする必要がある場合は、Quest ADコマンドレットを使用することの@tiagoinu提案をお勧めします。
つかいます：
Get-ADPrincipalGroupMembership username | select name | export-CSV username.csv
これはコマンドの出力を CSV ファイルにパイプします。
それは一行だけです：
(get-aduser joe.bloggs -properties *).memberof
の終わり ：）
Get-ADPrincipalGroupMembershipRecursiveというPowerShell関数を書きました。ユーザー、コンピュータ、グループ、またはサービスアカウントのDSNを受け入れます。アカウントのmemberOf属性からグループの初期リストを取得し、それらのグループのメンバーシップを再帰的にチェックします。略号は以下の通りです。コメント付きの完全 ソースコードはここにあります 。
function Get-ADPrincipalGroupMembershipRecursive( ) {
Param(
[string] $dsn,
[array]$groups = @()
)
$obj = Get-ADObject $dsn -Properties memberOf
foreach( $groupDsn in $obj.memberOf ) {
$tmpGrp = Get-ADObject $groupDsn -Properties memberOf
if( ($groups | where { $_.DistinguishedName -eq $groupDsn }).Count -eq 0 ) {
$groups += $tmpGrp
$groups = Get-ADPrincipalGroupMembershipRecursive $groupDsn $groups
}
}
return $groups
}
# Simple Example of how to use the function
$username = Read-Host -Prompt "Enter a username"
$groups = Get-ADPrincipalGroupMembershipRecursive (Get-ADUser $username).DistinguishedName
$groups | Sort-Object -Property name | Format-Table
Get-ADPrincipalGroupMembershipが機能しない場合は、そのユーザーとしてログインしてみてください。
$id = [Security.Principal.WindowsIdentity]::GetCurrent()
$groups = $id.Groups | foreach-object {$_.Translate([Security.Principal.NTAccount])}
$groups | select *
まず、activedirectoryモジュールをインポートします。
import-module activedirectory
それからこのコマンドを発行して下さい：
Get-ADGroupMember -Identity $group | foreach-object {
Write-Host $_.SamAccountName
}
指定したグループのメンバーが表示されます。
以下はうまくいきます：
get-aduser $username -Properties memberof | select -expand memberof
ユーザーのリストがある場合
$list = 'administrator','testuser1','testuser2'
$list | `
%{
$user = $_;
get-aduser $user -Properties memberof | `
select -expand memberof | `
%{new-object PSObject -property @{User=$user;Group=$_;}} `
}
特定のユーザーに対して次のような効果を得ることができませんでした。
Get-ADPrincipalGroupMembership username
それは私が解決しても構わないと思っていなかったというエラーを投げました。
しかし、私はGet-ADUserを使って別の解決策を考え出しました。アカウント名がわからない場合は、ユーザーの実際の名前のワイルドカードを使用してアカウント名を取得できるので、もう少し気に入っています。 PartOfUsersNameを記入するだけで、すぐに消えます。
#Get the groups that list of users are the member of using a wildcard search
[string]$UserNameLike = "*PartOfUsersName*" #Use * for wildcards here
[array]$AccountNames = $(Get-ADUser -Filter {Name -like $UserNameLike}).SamAccountName
ForEach ($AccountName In $AccountNames) {
Write-Host "`nGETTING GROUPS FOR" $AccountName.ToUpper() ":"
(Get-ADUser -Identity $AccountName -Properties MemberOf|select MemberOf).MemberOf|
Get-ADGroup|select Name|sort name
}
私をこの解決策に導いてくれたことに対してschmeckendeuglerと8DHには大きな支えがあります。あなたの両方に+1。
Get-QADUser -SamAccountNameログインID | ％{$ _。MemberOf} | Get-QADGroup |名前を選択
Get-ADPrincipalGroupメンバーシップ名前を選択
Import-Module ActiveDirectory
Get-ADUser -SearchBase "OU=Users,DC=domain,DC=local" -Filter * | foreach-object {
write-Host "User:" $_.Name -foreground green
Get-ADPrincipalGroupMembership $_.SamAccountName | foreach-object {
write-Host "Member Of:" $_.name
}
}
-SearchBaseの値を変更して、ユーザーをリストするのに必要なOUを反映します。
これにより、そのOU内のすべてのユーザーが一覧表示され、どのグループに所属しているかがわかります。
今後の参考のためにこれをここに置いてください。電子メールの移行中です。各ユーザーアカウントとそれぞれのグループメンバーシップを知っている必要があります。また、各グループとそれぞれのメンバーについて知っている必要があります。
以下のコードブロックを使って、各ユーザーのグループメンバーシップのCSVを出力します。
Get-ADUser -Filter * |`
ForEach-Object { `
$FileName = $_.SamAccountName + ".csv" ; `
$FileName ; `
Get-ADPrincipalGroupMembership $_ | `
Select-Object -Property SamAccountName, name, GroupScope, GroupCategory | `
Sort-Object -Property SamAccountName | `
Export-Csv -Path $FileName -Encoding ASCII ; `
}
グループとそれぞれのメンバーのエクスポートプロセスは少し複雑ですが、以下のように動作します。出力ファイル名にはグループの種類が含まれます。したがって、私が必要とする電子メール配布グループは、ユニバーサル配布グループとグローバル配布グループです。不要なTXTファイルを削除または移動するだけでよいのです。
Get-ADGroup -Filter * | `
Select-Object -Property Name, DistinguishedName, GroupScope, GroupCategory | `
Sort-Object -Property GroupScope, GroupCategory, Name | `
Export-Csv -Path ADGroupsNew.csv -Encoding ASCII
$MyCSV = Import-Csv -Path .\ADGroupsNew.csv -Encoding ASCII
$MyCSV | `
ForEach-Object { `
$FN = $_.GroupScope + ", " + $_.GroupCategory + ", " + $_.Name + ".txt" ; `
$FN ; `
Get-ADGroupMember -Identity $_.DistinguishedName | `
Out-File -FilePath $FN -Encoding ASCII ; $FN=""; `
}
再帰的にするには、次のようにします。
<#
.SYNOPSIS
Get all the groups that a user is MemberOf.
.DESCRIPTION
This script retrieves all the groups that a user is MemberOf in a recursive way.
.PARAMETER SamAccountName
The name of the user you want to check #>
Param (
[String]$SamAccountName = 'test',
$DomainUsersGroup = 'CN=Domain Users,CN=Users,DC=domain,DC=net'
)
Function Get-ADMemberOf {
Param (
[Parameter(ValueFromPipeline)]
[PSObject[]]$Group,
[String]$DomainUsersGroup = 'CN=Domain Users,CN=Users,DC=grouphc,DC=net'
)
Process {
foreach ($G in $Group) {
$G | Get-ADGroup | Select -ExpandProperty Name
Get-ADGroup $G -Properties MemberOf| Select-Object Memberof | ForEach-Object {
Get-ADMemberOf $_.Memberof
}
}
}
}
$Groups = Get-ADUser $SamAccountName -Properties MemberOf | Select-Object -ExpandProperty MemberOf
$Groups += $DomainUsersGroup
$Groups | Get-ADMemberOf | Select -Unique | Sort-Object
上記のほとんどすべての解決策はActiveDirecotryモジュールを使っていましたが、ほとんどの場合デフォルトでは利用できないかもしれません。
以下の方法を使用しました。少し間接的ですが、私の目的を果たしました。
利用可能なすべてのグループを一覧表示
Get-WmiObject -Class Win32_Group
そして、ユーザーが属しているグループを一覧表示します。
[System.Security.Principal.WindowsIdentity]::GetCurrent().Groups
それからSIDsをチェックすることで比較ができます。これはログインしているユーザーには有効です。間違っていたら訂正してください。 PowerShellはまったく新しいものですが、仕事のためにこれを実現する必要がありました。
提示されたすべてのコメントを調べることは私に出発点を与えました（そのようなおかげでありがとう）が、いくつかの未解決の問題を私に残しました。結果としてここに私の答えがあります。提供されているコードスニペットは、要求されているものより少しだけ多くのことを実行しますが、有用なデバッグ情報を提供します。
[array] $script:groupsdns = @()
function Get-ADPrincipalGroupMembershipRecursive()
{
Param( [string] $dn, [int] $level = 0, [array] $groups = @() )
#if(($groupsdns | where { $_.DistinguishedName -eq $dn }).Count -ne 0 ) { return $groups } # dependency on next statement
#$groupsdns += (Get-ADObject $dn -Properties MemberOf) # Get-ADObject cannot find an object with identity
if ($script:groupsdns.Contains($dn)) { return $groups }
$script:groupsdns += $dn
$mo = $Null
$mo = Get-ADObject $dn -Properties MemberOf # Get-ADObject cannot find an object with identity
$group = ($dn + " (" + $level.ToString())
if ($mo -eq $Null) { $group += "!" }
$group += ")"
$groups += $group
foreach( $groupdn in $mo.MemberOf )
{
$groups = Get-ADPrincipalGroupMembershipRecursive -dn $groupdn -level ($level+1) -groups $groups
}
if ($level -le 0)
{
$primarygroupdn = (Get-ADUser -Identity $dn -Properties PrimaryGroup).PrimaryGroup
$groups = Get-ADPrincipalGroupMembershipRecursive -dn $primarygroupdn -level ($level+1) -groups $groups
}
return $groups
}
$adusergroups = Get-ADPrincipalGroupMembershipRecursive -dn $aduser.DistinguishedName
$adusergroups | ft -AutoSize | `
Out-File -Width 512 Get-ADPrincipalGroupMembershipRecursive.txt #-Append #-Wrap # | Sort-Object -Property Name
ユーザー入力と派手な出力フォーマットで：
[CmdletBinding(SupportsShouldProcess=$True)]
Param(
[Parameter(Mandatory = $True)]
[String]$UserName
)
Import-Module ActiveDirectory
If ($UserName) {
$UserName = $UserName.ToUpper().Trim()
$Res = (Get-ADPrincipalGroupMembership $UserName | Measure-Object).Count
If ($Res -GT 0) {
Write-Output "`n"
Write-Output "$UserName AD Group Membership:"
Write-Output "==========================================================="
Get-ADPrincipalGroupMembership $UserName | Select-Object -Property Name, GroupScope, GroupCategory | Sort-Object -Property Name | FT -A
}
}
ここには素晴らしい答えがたくさんありますが、私が個人的に探していたものがありませんでした。私はそれを考え出したら - 私は後でそれを見つけたい場合に備えてそれを投稿するべきだと思いました。
Get-ADPrincipalGroupMembership username | Format-Table -auto
これを提示するための2つ目の方法は、興味のある個々の列を指定することです。
Get-ADPrincipalGroupMembership username | select name, GroupScope, GroupCategory
これにより、ユーザー名が属するすべてのADグループが表示されます。ただし、各グループのデフォルトのプロパティもすべてテーブルとして適切にフォーマットされています。
これがもたらす主な利点は、配布リストとセキュリティグループが一目でわかることです。一目でUniversal、DomainLocal、Globalのいずれかが一目でわかります。
なぜあなたはこの最後の部分を気にかけますか？
- ユニバーサルグループは、フォレスト内の任意のドメインのユーザー、グループ、およびコンピュータをメンバとして含むセキュリティグループまたは配布グループです。ユニバーサルセキュリティグループには、フォレスト内の任意のドメイン内のリソースに対する権利とアクセス許可を付与できます。
- グローバルグループは、それ自体のドメイン、メンバサーバー、ドメインのワークステーション、および信頼するドメインで使用できるグループです。これらすべての場所で、グローバルグループに権限とアクセス許可を付与し、グローバルグループをローカルグループのメンバーにすることができます。ただし、グローバルグループには、自分のドメインからのユーザーアカウントのみを含めることができます。
- ドメインローカルグループは、ユニバーサルグループ、グローバルグループ、自分のドメインの他のドメインローカルグループ、およびフォレスト内の任意のドメインのアカウントを含むことができるセキュリティグループまたは配布グループです。ドメインローカルセキュリティグループに、そのドメインローカルグループと同じドメインにのみ存在するリソースに対する権利とアクセス許可を付与できます。
これは、名前を取得するための最も簡単な方法です。
Get-ADPrincipalGroupMembership "YourUserName"
# Returns distinguishedName : CN=users,OU=test,DC=SomeWhere GroupCategory : Security GroupScope : Global name : testGroup objectClass : group objectGUID : 2130ed49-24c4-4a17-88e6-dd4477d15a4c SamAccountName : testGroup SID : S-1-5-21-2114067515-1964795913-1973001494-71628
選択ステートメントを追加して、応答をトリミングするか、OU内のすべてのユーザーを自分が属するすべてのグループにするようにします。
foreach ($user in (get-aduser -SearchScope Subtree -SearchBase $oupath -filter * -Properties samaccountName, MemberOf | select samaccountName)){ Get-ADPrincipalGroupMembership $user.samaccountName | select name}
他のメンバーグループに相談する特権がなくても、グループメンバーに相談する特権がある場合は、次の手順を実行して、どのユーザーがどのグループにアクセスできるかのマップを作成できます。
$groups = get-adgroup -Filter * | sort name | select Name
$users = @{}
foreach($group in $groups) {
$groupUsers = @()
$groupUsers = Get-ADGroupMember -Identity $group.Name | Select-Object SamAccountName
$groupUsers | % {
if(!$users.ContainsKey($_.SamAccountName)){
$users[$_.SamAccountName] = @()
}
($users[$_.SamAccountName]) += ($group.Name)
}
}
Get-ADUser -Filter { memberOf -RecursiveMatch "CN=Administrators,CN=Builtin,DC=Fabrikam,DC=com" } -SearchBase "CN=Administrator,CN=Users,DC=Fabrikam,DC=com" -SearchScope Base
## NOTE: The above command will return the user object (Administrator in this case) if it finds a match recursively in memberOf attribute.