Come ottenere TUTTI i gruppi di utenti AD (in modo ricorsivo) con PowerShell o altri strumenti?

Question

Sto cercando di ottenere tutti i gruppi di un utente è membro, anche quelli annidati (recusively), in PowerShell sto usando:

(Get-ADUser <username> -Properties MemberOf | Select-Object MemberOf).MemberOf 

ma restituisce solo i gruppi l'utente è un "diretta "membro, come si ottiene quando si utilizza la console degli utenti di Active Directory. L'unica lista di TUTTI i gruppi è molto utile, come l'output di "gpresult -r", dove mostra TUTTI i gruppi di cui l'utente è membro.

C'è un modo per ottenerlo da qualsiasi utente di AD? (Non ha bisogno di essere esclusivamente in PowerShell, forse ce n'è un altro strumento che non so ancora)

Answer 1

È possibile utilizzare il LDAP_MATCHING_RULE_IN_CHAIN:

Get-ADGroup -LDAPFilter "(member:1.2.840.113556.1.4.1941:=CN=User,CN=USers,DC=x)" 

si può utilizzare anywahere che è possibile utilizzare un filtro LDAP.

Esempio:

$username = 'myUsername' 
$dn = (Get-ADUser $username).DistinguishedName 
Get-ADGroup -LDAPFilter ("(member:1.2.840.113556.1.4.1941:={0})" -f $dn) | select -expand Name | sort Name 

Answer 2

In alternativa, è possibile utilizzare il constructed attributetokenGroups e una base con ambito query:

$tokenGroups = Get-ADUser -SearchScope Base -SearchBase '<account-distinguishedName>' ` 
-LDAPFilter '(objectClass=user)' -Properties tokenGroups | Select-Object ` 
-ExpandProperty tokenGroups | Select-Object -ExpandProperty Value