获得ADSI -Powershell的广告小组成员

Question

我无法使用Active Directory模块在特定的AD组中获取用户的SamAccountName。我该如何使用ADSI做到这一点？

我尝试过：

$Group = [ADSI]"LDAP://DN of the AD group"
$Group.Member | ForEach-Object {
    $Searcher = [adsisearcher]"(samAccountName=$_)"
    $searcher.FindOne().Properties
}

但是我看到了此消息：

samaccountname搜索过滤器无效。

我该怎么做？

Answer 1

如我所见，有两种方式，但是可能有一种更简单的方法来做到这一点。

一种是搜索所有用户的成员属性具有组的dickinedname（这可能是不那么麻烦的方法）：

$group = 'CN=myGroup, OU=myOU, DC=myDomain'
$searcher = [adsisearcher]"(&(objectclass=user)(objectcategory=person)(memberof=$group))"
$members = foreach($member in $searcher.FindAll()) {
    $member.Properties.samaccountname
}

另一种方式是使用与相同的方法您在问题中使用：

$group = 'CN=myGroup, OU=myOU, DC=myDomain'
$adsi = [adsi]"LDAP://$group"
$members = foreach($member in $adsi.member) {
    $isUser = [adsi]"LDAP://$member"
    if('person' -in $isUser.objectclass) {
        $isUser.samaccountname
    }
}

与上面的相似，但是使用adsisearcher，在这种情况下，哪一个会更有效：

$members = foreach($member in $adsi.member) {
    $check = [adsisearcher]"(&(distinguishedname=$member)(objectclass=user)(objectcategory=person))"
    if($isUser = $check.FindOne()) {
        $isUser.Properties.samaccountname
    }
}

Answer 2

我在自己的系统上运行了您的代码的修改版本，因此我可以看到搜索字符串的实际外观：

$Group = [ADSI]"LDAP://DN of the AD group"
$Group.Member | ForEach-Object {
    $searchKey = "(samAccountName=$_)"
    $searchKey
    $Searcher = [adsisearcher]$searchKey 
    # $searcher.FindOne().Properties
}

请注意，我让$ searchKey来到控制台。当我这样做时，我会看到完整的杰出名称而不是samaccountName。基于此结果，我更改了代码以寻找该值而不是samaccountName，然后我看到了（大概）预期的结果：

$Group = [ADSI]"LDAP://DN of the AD group"
$Group.Member | ForEach-Object {
    $Searcher = [adsisearcher]"(distinguishedName=$_)"
    $searcher.FindOne().Properties
}

Answer 3

这对我有用：

$group = 'CN=myGroup, OU=myOU, DC=myDomain'
$adsi = [adsi]"LDAP://$group"
$members = foreach($member in $adsi.member) {
$isUser = [adsi]"LDAP://$member"
if('person' -in $isUser.objectclass) {
$isUser.samaccountname
}
}
$members