¿Línea de comando para enumerar usuarios en un grupo de Active Directory de Windows?

¿Hay una forma de línea de comando para enumerar todos los usuarios en un grupo particular de Active Directory?

Puedo ver quién está en el grupo yendo a Administrar computadora -> Usuario local / Grupos -> Grupos y haciendo doble clic en el grupo.

Solo necesito una forma de línea de comandos para recuperar los datos, para poder realizar otras tareas automatizadas.

tratar

dsget group "CN=GroupName,DC=domain,DC=name,DC=com" -members

Aquí hay otra forma desde el símbolo del sistema, aunque no estoy seguro de qué tan automatizable, ya que tendría que analizar la salida:

Si el grupo es "grupo de seguridad global":

net group <your_groupname> /domain

Si busca "grupo de seguridad local de dominio":

net localgroup <your_groupname> /domain

Aquí hay una versión del comando ds que encontré más útil, especialmente si tiene una estructura OU compleja y no necesariamente conoce el nombre completo del grupo.

dsquery group -samid "Group_SAM_Account_Name" | dsget group -members -expand

o si conoce el CN ​​del grupo, generalmente el mismo que el ID de SAM, citado en caso de que haya espacios en el nombre:

dsquery group -name "Group Account Name" | dsget group -members -expand

Como se indicó en los comentarios, de manera predeterminada los comandos ds * (dsquery, dsget, dsadd, dsrm) solo están disponibles en un controlador de dominio. Sin embargo, puede instalar el paquete de Herramientas de administración desde las Herramientas de soporte en los medios de instalación de Windows Server o descargarlo del sitio de descargas de Microsoft.

También puede realizar estas consultas con PowerShell. PowerShell ya está disponible como una característica instalable para Server 2008, 2008 R2 y Windows 7, pero deberá descargar WinRM Framework para instalarlo en XP o Vista.

Para obtener acceso a los cmdlets específicos de AD en PowerShell, TAMBIÉN deberá realizar al menos una de las siguientes instalaciones:

• Para los clientes Win 7 y 2008 R2, puede instalar las Herramientas de administración del servidor remoto . El RSAT también requiere que haya instalado la función de Servicios web de Active Directory en sus Controladores de dominio Server 2008 R2 , o el Servicio de puerta de enlace de administración de Active Directory para cualquier DC Server 2003/2008 .
• Para cualquier cliente XP o superior, descargue e instale el Quest ActiveRoles Management Shell para Active Directory . Las herramientas de Quest no requieren ningún cambio adicional en sus DC.

Para una solución de PowerShell que no requiere el complemento Quest AD, intente lo siguiente

Import-Module ActiveDirectory

Get-ADGroupMember "Domain Admins" -recursive | Select-Object name

Esto también enumerará los grupos anidados. Si no desea hacerlo, quite el modificador recursivo .

Una forma muy fácil que funciona en servidores y clientes:

NET GROUP "YOURGROUPNAME" /DOMAIN | find /I /C "%USERNAME%"

Devuelve 1 si el usuario está en el grupo YOURGROUPNAME, de lo contrario devolverá 0

Luego puede usar el valor% ERRORLEVEL% (0 si el usuario está en el grupo, 1 si no) como

IF %ERRORLEVEL%==0 NET USE %LOGONSERVER%\YOURGROUPSHARE

Al usar el Shell de administración de ActiveRoles gratuito de PowerShell y Quest Software para Active Directory, puede usar:

(Get-QADGroup "GroupName"). Miembros

http://www.quest.com/powershell/activeroles-server.aspx

Las respuestas aquí usan dsgety dsquerysolo funcionarán en versiones de servidor de Windows, ya que esos comandos no se envían en otras versiones de Windows (por ejemplo, Windows 7). En máquinas sin esos comandos, puede obtener la información que desea con el comando AdFind .

Aquí hay una consulta de ejemplo para obtener la membresía de grupo:

AdFind.exe -default -f name="Domain Admins" member -list

¿Cómo enumerar grupos y usuarios locales?

Use el siguiente script de PowerShell para enumerar los grupos locales y los miembros de esos grupos.

$server="YourServerName"
$computer = [ADSI]"WinNT://$server,computer"

$computer.psbase.children | where { 

$_.psbase.schemaClassName -eq 'group' } | foreach {
    write-host $_.name
    write-host "------"
    $group =[ADSI]$_.psbase.Path
    $group.psbase.Invoke("Members") | foreach {
$_.GetType().InvokeMember("Name", 'GetProperty', 

$null, $_, $null)}
    write-host
}

Copie el texto de arriba en el bloc de notas y guárdelo como filename.ps1. Luego ejecuta el archivo. Debería mostrar los Grupos y Usuarios en cada grupo, o simplemente puede ejecutar esto desde powershell.

Para mostrar miembros de la UserGroup1prueba:

dsquery group -name UserGroup1 | dsget group -members | dsget user -display