非域成员的Get-ADGroupMember处理

如何解决非域成员的Get-ADGroupMember处理

我们管理一个受信任的域，并通过添加到本地域组（例如控制权限）的受信任域上的组，为用户授予域中文件服务器的访问权限。

对于路径“ \ server \ folder \ folder”，权限可能看起来像

MyDomain\FolderXReadWrite

然后在之内将来自受信任域的组包括在内

TrustedDomain\FolderXReadWrite

我想为此编写一个脚本以进行“逆向工程”，这样我就可以派生可以访问给定文件夹路径的本地域和受信任域组，并列出它们-我得到以下信息：>

$path = '\\server\path\path'

$Permissions = (Get-Item -Path $path -ErrorAction Stop | Get-Acl -ErrorAction Stop).Access | Where-Object { $_.IdentityReference -like "MyDomain\*" } | ForEach-Object {
    $TrustedDomGroup = Get-ADGroupMember ($_.IdentityReference.Value -split '\\')[1] -Verbose | Where-Object { ($_.DistinguishedName -split 'DC=',2)[-1] -like "*TrustedDomain*" -and ($_.objectClass -eq 'group') }
        If ($TrustedDomGroup) {
            [pscustomobject]@{Name=("TrustedDomain\" + $TrustedDomGroup.SamAccountName);Rights=("Member of " + $_.IdentityReference);Domain='PHS'}
        }
        [pscustomobject]@{Name=$_.IdentityReference;Rights=$_.FileSystemRights;Domain='NSS'}
    }

$Permissions | Sort-Object Name -Unique

这将产生我需要的输出，但是，上例中的域组具有很多用户，因此处理“ Get-ADGroupMember”需要很长时间。有人对更快的方法有建议吗？

解决方法

您可以尝试使用以下命令检索所有组成员：

(Get-ADGroup $ADGroup -Properties members).members

我不知道它在您的环境中是否比Get-AdGroupMember更快。 通过Measure-Command进行的测量可能会为您提供更多信息：

Measure-Command,Microsoft Docs

,

好的，因此提高查找速度的最佳方法似乎是使用LDAP，因此我组合了一个小函数来从本地AD组获取Foreign Security Principal组名称：

Function List-FSPGroupMembers {
# Use LDAP search to find and resolve Foreign Security Principals from an AD group - faster than native cmdlet
    [CmdletBinding()]
    Param(
        [Parameter(Mandatory=$true,Position=1)][string]$GroupName="",[Parameter(Mandatory=$true,Position=2)][string]$Domain
    )
    [regex]$SIDmatch = "S-\d-(?:\d+-){1,14}\d+"
    Function fGetADGroupObjectFromName([System.String]$sGroupName,[System.String]$sLDAPSearchRoot) {
        $oADRoot = New-Object System.DirectoryServices.DirectoryEntry($sLDAPSearchRoot)
        $sSearchStr ="(&(objectCategory=group)(name="+$sGroupName+"))"
        $oSearch=New-Object directoryservices.DirectorySearcher($oADRoot,$sSearchStr)
        $oFindResult=$oSearch.FindAll()
        If($oFindResult.Count -eq 1) {
            Return($oFindResult)
        }
        Else{
            Return($false)
        }
    }
    $sSearchRoot="LDAP://" + $Domain + ":3268"
    If($oSearchResult=fGetADGroupObjectFromName $groupname $sSearchRoot) {
        $oGroup=New-Object System.DirectoryServices.DirectoryEntry($oSearchResult.Path)
        $oGroup.Member | Where-Object {($_.ToString()) -match $SIDmatch } | ForEach-Object {   
            $SID = (Select-String -Pattern $SIDmatch -InputObject $_.ToString()).Matches.Value
            Try { 
                (New-Object System.Security.Principal.SecurityIdentifier($SID)).Translate([System.Security.Principal.NTAccount]).Value
            }
            Catch {
                $_
            }
        }
    }
    Else {
        Write-Warning ("Group "+$groupname+" not found at "+$domain)
    }
}