Get-ADUser в определенной группе AD

Question

Я хотел бы получить учетную запись пользователя AD через powershell в пределах определенной группы.

Я буду знать GivenName и Surname пользователя, которого я буду искать, поэтому Get-ADUser выглядит как хорошая функция для использования.

Проблема в том, что у нас в OU большое количество пользователей, и я хочу ограничить область поиска одной группой AD и группами под этой группой AD. Насколько я могу судить, параметр SearchBaseGet-ADUser будет работать только для подразделений, а не для групп.

Я хотел бы сделать это как можно эффективнее (т. Е. Не получить всех пользователей в группе и поиска в пределах этих пользователей).

Answer 1

Вы можете использовать Get-ADGroupMember для перечисления членов группы, а также использовать его в качестве входных данных для Get-ADUser:

Get-ADGroupMember 'groupname' | 
    Get-ADUser -Properties EmailAddress | 
    Where-Object { $_.Surname -eq 'foo' -and $_.GivenName -eq 'bar' } | 
    Select-Object -Expand EmailAddress 

Если группа содержит не только пользователем объекты, которые нужно отфильтровать пользователей по классам первой:

Get-ADGroupMember 'groupname' | 
    Where-Object { $_.objectClass -eq 'user' } | 
    Get-ADUser -Properties EmailAddress | 
    Where-Object { $_.Surname -eq 'foo' -and $_.GivenName -eq 'bar' } | 
    Select-Object -Expand EmailAddress 

Для разворачивания вложенных групп вам нужна рекурсивная функция:

function Unroll-Group($group) { 
    Get-ADGroupMember $group | ForEach-Object { 
    switch ($_.objectClass) { 
     'group' { Unroll-Group $_ } 
     'user' { Get-ADUser $_ -Property EmailAddress } 
    } 
    } 
} 

Unroll-Group 'groupname' | 
    Where-Object { $_.Surname -eq 'foo' -and $_.GivenName -eq 'bar' } | 
    Select-Object -Expand EmailAddress 

Обратите внимание, что этот подход не будет работать для основной группы пользователя.