PowerShell的Get-ADGroupMember cmdlet返回特定组的成员。是否有cmdlet或属性来获取特定用户所属的所有组？
我修正了我的错误：Get-Member应该是Get-ADGroupMember。
Get-ADPrincipalGroupMembership将执行此操作。
Get-ADPrincipalGroupMembership username | select name
name
----
Domain Users
Domain Computers
Workstation Admins
Company Users
Company Developers
AutomatedProcessingTeam
使用：
Get-ADPrincipalGroupMembership username | select name | export-CSV username.csv
这将命令输出管道输入到CSV文件中。
首先，导入activedirectory模块：
import-module activedirectory
然后发出以下命令：
Get-ADGroupMember -Identity $group | foreach-object {
Write-Host $_.SamAccountName
}
这将显示指定组的成员。
这只是一行：
(get-aduser joe.bloggs -properties *).memberof
结束 ：）
我写了一个名为Get-ADPrincipalGroupMembershipRecursive的PowerShell函数。它接受用户，计算机，组或服务帐户的DSN。它从帐户的memberOf属性中检索组的初始列表，然后递归检查这些组的成员资格。缩写代码如下。完整的source code with comments can be found here。
function Get-ADPrincipalGroupMembershipRecursive( ) {
Param(
[string] $dsn,
[array]$groups = @()
)
$obj = Get-ADObject $dsn -Properties memberOf
foreach( $groupDsn in $obj.memberOf ) {
$tmpGrp = Get-ADObject $groupDsn -Properties memberOf
if( ($groups | where { $_.DistinguishedName -eq $groupDsn }).Count -eq 0 ) {
$groups += $tmpGrp
$groups = Get-ADPrincipalGroupMembershipRecursive $groupDsn $groups
}
}
return $groups
}
# Simple Example of how to use the function
$username = Read-Host -Prompt "Enter a username"
$groups = Get-ADPrincipalGroupMembershipRecursive (Get-ADUser $username).DistinguishedName
$groups | Sort-Object -Property name | Format-Table
以下效果很好：
get-aduser $username -Properties memberof | select -expand memberof
如果您有用户列表：
$list = 'administrator','testuser1','testuser2'
$list | `
%{
$user = $_;
get-aduser $user -Properties memberof | `
select -expand memberof | `
%{new-object PSObject -property @{User=$user;Group=$_;}} `
}
如果您无法让Get-ADPrincipalGroupMembership工作，您可以尝试以该用户登录然后使用。
$id = [Security.Principal.WindowsIdentity]::GetCurrent()
$groups = $id.Groups | foreach-object {$_.Translate([Security.Principal.NTAccount])}
$groups | select *
Get-QADUser -SamAccountName LoginID | ％{$ _。MemberOf} | Get-QADGroup |选择名称
我无法让以下内容为特定用户工作：
Get-ADPrincipalGroupMembership username
它抛出了一个我不愿意排除故障的错误。
然而，我确实使用Get-ADUser提出了不同的解决方案。我喜欢它好一点，因为如果你不知道帐户名，那么你可以根据用户实际名称的通配符得到它。只需填写PartOfUsersName即可。
#Get the groups that list of users are the member of using a wildcard search
[string]$UserNameLike = "*PartOfUsersName*" #Use * for wildcards here
[array]$AccountNames = $(Get-ADUser -Filter {Name -like $UserNameLike}).SamAccountName
ForEach ($AccountName In $AccountNames) {
Write-Host "`nGETTING GROUPS FOR" $AccountName.ToUpper() ":"
(Get-ADUser -Identity $AccountName -Properties MemberOf|select MemberOf).MemberOf|
Get-ADGroup|select Name|sort name
}
schmeckendeugler和8DH的巨大道具让我得到了这个解决方案。给你们两个+1。
虽然这里有许多优秀的答案，但有一个我个人正在寻找的缺失。一旦我弄明白了 - 我想我应该发布它，以防我想稍后找到它，或者它实际上设法在某个时候帮助别人：
Get-ADPrincipalGroupMembership username | Format-Table -auto
第二种方法是指定您感兴趣的各个列，例如：
Get-ADPrincipalGroupMembership username | select name, GroupScope, GroupCategory
这将为用户名所属的所有AD组提供 - 但也会将每个组的所有默认属性显示为表格。
这给您带来的主要好处是您可以一目了然地看到哪些是分发列表，哪些是安全组。您可以进一步看到哪些是Universal，它们是DomainLocal，哪些是Global。 你为什么要关心这最后一点？
Import-Module ActiveDirectory
Get-ADUser -SearchBase "OU=Users,DC=domain,DC=local" -Filter * | foreach-object {
write-host "User:" $_.Name -foreground green
Get-ADPrincipalGroupMembership $_.SamAccountName | foreach-object {
write-host "Member Of:" $_.name
}
}
更改-SearchBase的值以反映从列出用户所需的OU :)
这将列出该OU中的所有用户，并显示他们所属的组。
单行，无需模块，使用当前登录用户：
(New-Object System.DirectoryServices.DirectorySearcher("(&(objectCategory=User)(samAccountName=$($env:username)))")).FindOne().GetDirectoryEntry().memberOf
对这篇vbs / powershell文章的评价：http://technet.microsoft.com/en-us/library/ff730963.aspx
Get-ADPrincipalGroupMembership USERLOGON |选择名称
Get-ADUser -Filter { memberOf -RecursiveMatch "CN=Administrators,CN=Builtin,DC=Fabrikam,DC=com" } -SearchBase "CN=Administrator,CN=Users,DC=Fabrikam,DC=com" -SearchScope Base
## NOTE: The above command will return the user object (Administrator in this case) if it finds a match recursively in memberOf attribute.
这是获取名称的最简单方法：
Get-ADPrincipalGroupMembership "YourUserName"
# Returns
distinguishedName : CN=users,OU=test,DC=SomeWhere
GroupCategory : Security
GroupScope : Global
name : testGroup
objectClass : group
objectGUID : 2130ed49-24c4-4a17-88e6-dd4477d15a4c
SamAccountName : testGroup
SID : S-1-5-21-2114067515-1964795913-1973001494-71628
添加一个select语句来修剪响应，或者让OU中的每个用户都是以下用户：
foreach ($user in (get-aduser -SearchScope Subtree -SearchBase $oupath -filter * -Properties samaccountName, MemberOf | select samaccountName)){
Get-ADPrincipalGroupMembership $user.samaccountName | select name}
要使其递归，您可以使用：
<#
.SYNOPSIS
Get all the groups that a user is MemberOf.
.DESCRIPTION
This script retrieves all the groups that a user is MemberOf in a recursive way.
.PARAMETER SamAccountName
The name of the user you want to check #>
Param (
[String]$SamAccountName = 'test',
$DomainUsersGroup = 'CN=Domain Users,CN=Users,DC=domain,DC=net'
)
Function Get-ADMemberOf {
Param (
[Parameter(ValueFromPipeline)]
[PSObject[]]$Group,
[String]$DomainUsersGroup = 'CN=Domain Users,CN=Users,DC=grouphc,DC=net'
)
Process {
foreach ($G in $Group) {
$G | Get-ADGroup | Select -ExpandProperty Name
Get-ADGroup $G -Properties MemberOf| Select-Object Memberof | ForEach-Object {
Get-ADMemberOf $_.Memberof
}
}
}
}
$Groups = Get-ADUser $SamAccountName -Properties MemberOf | Select-Object -ExpandProperty MemberOf
$Groups += $DomainUsersGroup
$Groups | Get-ADMemberOf | Select -Unique | Sort-Object
几乎所有上述解决方案都使用了ActiveDirecotry模块，在大多数情况下默认情况下可能无法使用。
我用下面的方法。有点间接，但服务于我的目的。
列出所有可用的组
Get-WmiObject -Class Win32_Group
然后列出用户所属的组
[System.Security.Principal.WindowsIdentity]::GetCurrent().Groups
然后可以通过SIDs检查进行比较。这适用于登录用户。如果我错了，请纠正我。对PowerShell来说是全新的，但必须完成工作承诺。
使用用户输入和花哨的输出格式：
[CmdletBinding(SupportsShouldProcess=$True)]
Param(
[Parameter(Mandatory = $True)]
[String]$UserName
)
Import-Module ActiveDirectory
If ($UserName) {
$UserName = $UserName.ToUpper().Trim()
$Res = (Get-ADPrincipalGroupMembership $UserName | Measure-Object).Count
If ($Res -GT 0) {
Write-Output "`n"
Write-Output "$UserName AD Group Membership:"
Write-Output "==========================================================="
Get-ADPrincipalGroupMembership $UserName | Select-Object -Property Name, GroupScope, GroupCategory | Sort-Object -Property Name | FT -A
}
}
把它放在这里供将来参考。我正在进行电子邮件迁移。我需要知道每个用户帐户及其各自的组成员身份，而且我还需要了解每个组及其各自的成员。
我正在使用下面的代码块为每个用户的组成员身份输出CSV。
Get-ADUser -Filter * |`
ForEach-Object { `
$FileName = $_.SamAccountName + ".csv" ; `
$FileName ; `
Get-ADPrincipalGroupMembership $_ | `
Select-Object -Property SamAccountName, name, GroupScope, GroupCategory | `
Sort-Object -Property SamAccountName | `
Export-Csv -Path $FileName -Encoding ASCII ; `
}
这些团体及其各自成员的出口过程有点令人费解，但以下情况有效。输出文件名包括组的类型。因此，我需要的电子邮件通讯组是/应该是通用和全局通讯组。我应该能够删除或移动我不需要的TXT文件。
Get-ADGroup -Filter * | `
Select-Object -Property Name, DistinguishedName, GroupScope, GroupCategory | `
Sort-Object -Property GroupScope, GroupCategory, Name | `
Export-Csv -Path ADGroupsNew.csv -Encoding ASCII
$MyCSV = Import-Csv -Path .\ADGroupsNew.csv -Encoding ASCII
$MyCSV | `
ForEach-Object { `
$FN = $_.GroupScope + ", " + $_.GroupCategory + ", " + $_.Name + ".txt" ; `
$FN ; `
Get-ADGroupMember -Identity $_.DistinguishedName | `
Out-File -FilePath $FN -Encoding ASCII ; $FN=""; `
}
研究所有提出的意见给了我一个起点（感谢你这样做），但给我留下了几个未解决的问题。结果这是我的答案。提供的代码片段比请求的更多，但它提供了有用的调试信息。
[array] $script:groupsdns = @()
function Get-ADPrincipalGroupMembershipRecursive()
{
Param( [string] $dn, [int] $level = 0, [array] $groups = @() )
#if(($groupsdns | where { $_.DistinguishedName -eq $dn }).Count -ne 0 ) { return $groups } # dependency on next statement
#$groupsdns += (Get-ADObject $dn -Properties MemberOf) # Get-ADObject cannot find an object with identity
if ($script:groupsdns.Contains($dn)) { return $groups }
$script:groupsdns += $dn
$mo = $Null
$mo = Get-ADObject $dn -Properties MemberOf # Get-ADObject cannot find an object with identity
$group = ($dn + " (" + $level.ToString())
if ($mo -eq $Null) { $group += "!" }
$group += ")"
$groups += $group
foreach( $groupdn in $mo.MemberOf )
{
$groups = Get-ADPrincipalGroupMembershipRecursive -dn $groupdn -level ($level+1) -groups $groups
}
if ($level -le 0)
{
$primarygroupdn = (Get-ADUser -Identity $dn -Properties PrimaryGroup).PrimaryGroup
$groups = Get-ADPrincipalGroupMembershipRecursive -dn $primarygroupdn -level ($level+1) -groups $groups
}
return $groups
}
$adusergroups = Get-ADPrincipalGroupMembershipRecursive -dn $aduser.DistinguishedName
$adusergroups | ft -AutoSize | `
Out-File -Width 512 Get-ADPrincipalGroupMembershipRecursive.txt #-Append #-Wrap # | Sort-Object -Property Name
如果您没有权限咨询其他成员组但您确实有权咨询组成员，则可以执行以下操作来构建哪个用户可以访问哪些组的映射。
$groups = get-adgroup -Filter * | sort name | select Name
$users = @{}
foreach($group in $groups) {
$groupUsers = @()
$groupUsers = Get-ADGroupMember -Identity $group.Name | Select-Object SamAccountName
$groupUsers | % {
if(!$users.ContainsKey($_.SamAccountName)){
$users[$_.SamAccountName] = @()
}
($users[$_.SamAccountName]) += ($group.Name)
}
}
Canoas发布的更简洁的替代方案，用于获取当前登录用户的组成员资格。
我在这篇博文中遇到过这种方法：http://www.travisrunyard.com/2013/03/26/auto-create-outlook-mapi-user-profiles/
([ADSISEARCHER]"samaccountname=$($env:USERNAME)").Findone().Properties.memberof
一个更好的版本，它使用正则表达式来剥离LDAP guff并仅留下组名：
([ADSISEARCHER]"samaccountname=$($env:USERNAME)").Findone().Properties.memberof -replace '^CN=([^,]+).+$','$1'
有关使用[ADSISEARCHER]类型加速器的更多详细信息，请参阅脚本专家博客：http://blogs.technet.com/b/heyscriptingguy/archive/2010/08/24/use-the-powershell-adsisearcher-type-accelerator-to-search-active-directory.aspx
CMD的老派方式：
net user mst999 /domain
(GET-ADUSER –Identity USERNAME –Properties MemberOf | Select-Object MemberOf).MemberOf
获取用户的组成员资格：
$strUserName = "Primoz"
$strUser = get-qaduser -SamAccountName $strUserName
$strUser.memberof
见Get Group Membership for a User
但也看到了Quest的Free PowerShell Commands for Active Directory。
[编辑：Get-ADPrincipalGroupMembership命令包含在自Windows 2008 R2 v2以来的Powershell中。请参阅下面的kstrauss'答案。
Get-Member是一个用于列出.NET object成员的cmdlet。这与用户/组成员身份无关。您可以获得当前用户的组成员身份，如下所示：
PS> [System.Security.Principal.WindowsIdentity]::GetCurrent().Groups |
Format-Table -auto
BinaryLength AccountDomainSid Value
------------ ---------------- -----
28 S-1-5-21-... S-1-5-21-2229937839-1383249143-3977914998-513
12 S-1-1-0
28 S-1-5-21-... S-1-5-21-2229937839-1383249143-3977914998-1010
28 S-1-5-21-... S-1-5-21-2229937839-1383249143-3977914998-1003
16 S-1-5-32-545
...
如果您需要访问任意用户的组信息，那么@tiagoinu建议使用Quest AD cmdlet是一种更好的方法。
当它是一个简单的一个班轮时，不需要长脚本..
QUEST命令
(Get-QADUser -Identity john -IncludedProperties MemberOf | Select-Object MemberOf).MemberOf
MS AD命令
(GET-ADUSER –Identity john –Properties MemberOf | Select-Object MemberOf).MemberOf
我发现MS AD cmd更快但有些人喜欢Quest更好..
史蒂夫
Get-Member不是用于获取用户的组成员资格。如果要获取本地系统上用户所属的组列表，可以通过以下方式执行此操作：
$query = "ASSOCIATORS OF {Win32_Account.Name='DemoUser1',Domain='DomainName'} WHERE ResultRole=GroupComponent ResultClass=Win32_Account"
Get-WMIObject -Query $query | Select Name
在上面的查询中，将DemoUser1替换为您想要的用户名，将DomainName替换为您的本地计算机名或域名。