Obtener una lista de grupos de anuncios de los que un usuario es miembro

Supongamos que tengo la identificación de usuario de un usuario en Active Directory. Me gustaría obtener una lista de todos los grupos de AD en los que ese usuario es actualmente miembro. ¿Cómo puedo hacer esto desde la línea de comandos de Windows?

He intentado lo siguiente:

dsget user "DC=jxd123" -memberof

Error:

dsquery failed:'-memberof' is an unknown parameter.
type dsquery /? for help.

Puede hacer esto en PowerShell con bastante facilidad. Estoy seguro de que también puedes hacerlo con las herramientas ds, pero son viejas y crujientes y PowerShell debería usarse para todo lo posible hoy en día.

Import-Module ActiveDirectory
(Get-ADUser userName –Properties MemberOf | Select-Object MemberOf).MemberOf

Versión más corta

(Get-ADUser userName –Properties MemberOf).MemberOf

O con el comando net user ...

net user /domain username

Una sola línea, no se necesitan módulos, utiliza el usuario registrado actual $ ($ env: username), se ejecuta desde otras máquinas Windows:

(New-Object System.DirectoryServices.DirectorySearcher("(&(objectCategory=User)(samAccountName=$($env:username)))")).FindOne().GetDirectoryEntry().memberOf

Qudos a este artículo de vbs / powershell: http://technet.microsoft.com/en-us/library/ff730963.aspx

Encontrado un buen recurso:

http://social.technet.microsoft.com/wiki/contents/articles/2195.active-directory-dsquery-commands.aspx

Aquí se explica cómo hacerlo desde el símbolo del sistema de Windows:

dsquery user -samid jxd123 | dsget user -memberof | dsget group -samid

Potencia Shell:

Get-ADPrincipalGroupMembership -Identity jdoe | Format-Table -Property name

Si necesita ver sus propios grupos, hay whoami /groups:

Muestra los grupos de usuarios a los que pertenece el usuario actual.

La ventaja de este comando sobre net user /domain usernamees que las membresías de grupo implícitas también se muestran con whoami.

Otro enfoque: un script de PowerShell que enumera todas las membresías de grupo implícitas del token de la cuenta de Windows. Funciona en un sistema restringido.

$token = [System.Security.Principal.WindowsIdentity]::GetCurrent() 
ForEach($group in $token.Groups){
    $group.Translate([System.Security.Principal.NTAccount])
}

dsquery user -samid "user id" | dsget user -memberof > userid_memberof.txt

$ADUser = Read-Host "Provide the AD User account"
Get-ADPrincipalGroupMembership -Identity $ADUser | Sort-Object name | Format-Table -Expand name

adfind es otra gran herramienta para este tipo de cosas. Es una herramienta gratuita del MVP Joe Richards.

http://www.joeware.net/freetools/tools/adfind/

Puedes usar uno de los shortucts

adfind -sc u:username memberof

Esta versión de PowerShell devuelve solo los nombres de grupo de AD, en lugar del DN del grupo. La salida 'select-object' se puede canalizar fácilmente a un archivo CSV o de prueba.

(Get-ADUser ExampleUser –Properties MemberOf).memberof | Get-ADGroup | Select-Object name

Powershell, da una salida agradable y limpia.

(get-aduser USER -Properties MemberOf | select MemberOf).MemberOf | % {$_.split(",")[0].replace("CN=","")}

Aquí hay una solución que busca todos los dominios bajo el dominio dado (suponiendo el permiso apropiado para cada dominio):

# provide the logon name here:
$user="alice"
$allGroups=@()

foreach ( $d in (Get-ADForest example.net).domains ) { Write-Output "Looking up $user in domain $d"; $allGroups += Get-ADPrincipalGroupMembership $user -ResourceContextServer $d }

$allGroups | ft name,GroupScope,distinguishedName -AutoSize

Uso de Get-ADPrincipalGroupMembership

Prueba esto:

gpresult -V /user blah