security group های اکتیودایرکتوری برای تخصیص مجوز کاربران به سرویس ها و منابع مختلف دامین ها استفاده می شود. بنابراین، برای درک اینکه چه مجوزهایی در دامین AD به یک کاربر خاص اختصاص داده شده است، کافی است گروه هایی را که حساب کاربری در آنها عضو است بررسی کنید.


ساده ترین راه برای تهیه لیست گروه های کاربری در AD استفاده از کنسول Active Directory Users & Computers است. برای این منظور Run را باز کرده و عبارت dsa.msc را وارد و Enter کنید تا کنسول مذکور باز شود. روی دامین خود کلیک راست کرده و سپس گزینه Find را کلیک کنید. سپس در فیلد name باید Username مورد نظرتان را تایپ کرده و Find Now را کلیک کنید.




پس از اینکه User در لیست یافت و نمایش داده شد، روی آن دابل کلیک کنید تا فرم Properties مربوط بدان کاربر نمایش داده شود. در این فرم به تب Member of بروید. در این لیستی که در این تب مشاهده می کنید، لیستی از گروه هایی که این کاربر عضو آن است نمایش داده می شود.

Checking AD Group Membership via Command Line

شما حتی می توانید اعضای گروه ها در Active Directory را با کمک دستورات خط فرمان هم مشاهده کنید. پس Powershell را اجرا کرده و سپس دستور زیر را در آن وارد و Enter کنید. توجه داشته باشید به جای Username در دستور زیر باید نام کاربری مورد نظر خودتان را جایگزین کنید.

net user USERNAME /domain

همانطور که در خروجی دستور مشاهده می کنید، عضویت کاربر در گروه های Global و Local دامین را نشان می دهد.


دستور زیر هم security group هایی که کاربر شما عضو آن است را لیست می کند.

whoami /groups

با کمک دستور زیر، کاربرانی که عضو گروه مورد نظر شما هستند، لیست می شود. در دستور زیر به جای Your Group Name باید نام گروه مد نظرتان را جایگزین کنید.

Net group "Your Group Name" /DOMAIN

اشکال روش های توضیح داده شده در بالا این است که گروه های AD تو در تو نمایش داده نمی شوند (مثلا وقتی گروهی عضو گروه های دیگر هم باشد).
با استفاده از ابزار dsget می توانید لیست کاملی از گروه های کاربر (از جمله گروه های تو در تو) را نمایش دهید. به جای نام کاربری ، باید distinguishedName آن را مشخص کنید:

dsget user "CN=Jon Brion,OU=Users,OU=UK,DC=theitbros,DC=com" -memberof -expand

در صورت نیاز به دریافت اعضای یک گروه خاص از جمله عضویت در گروه تو در تو ، از دستور زیر استفاده کنید:

dsget group "CN=NY-Managers,OU=Users,OU=NY,DC=theitbros,DC=com" -members -expand

برای نمایش لیستی از گروه هایی که گروه در آن قرار دارد از دستور زیر باید استفاده کنید.

dsget group "CN=NY-Managers,OU=Users,OU=NY,DC=theitbros,DC=com" -memberof



-expand

با استفاده از دستورات dsquery و net group اعضای یک گروه خاص اکتیودایرکتوری را می توانید مشاهده کنید:

dsquery group -name "AllowUSB" | dsget group -members

یا

net group "AllowUSB" /domain

How to List AD Group Members using PowerShell?

تمامی کارهایی که در بالا انجام دادیم، با دستور PowerShell هم قابل انجام است. درست است که دستورات فوق را در پاورشل اجرا کردیم ولی در cmd هم پشتیبانی می شدند ولی دستورات زیر فقط در پاورشل پشتیبانی و قابل اجرا هستند.
برای اجرای این دستورات در پاورشل یا باید کنسول Server manager را باز کرده و از منوی Tools، ابزار پاورشل را اجرا کنید و یا اینکه Powershell را اجرا کرده و سپس دستور زیر را در آن وارد و Enter کنید.

Import-module Activedirectory

اگر دستور فوق را در پاورشل اجرا کردید، پاورشل را نبندید.


با دستور زیر username هایی که در گروه خاصی موجود هستند را نمایش می دهد. فقط توجه داشته باشید که در همه دستورات باید مقادیر خودتان را جایگزین کنید.

Get-ADGroupMember -Identity AllowUSB -Recursive | ft name

اعضای گروه را با اطلاعات و جزئیات دقیق نمایش می دهد:

Get-ADGroupMember -Identity AllowUSB | foreach { Get-ADUser $_ -Properties * }

اگر بین اسامی نام گروه فاصله وجود دارد، در دابل کوتیشن نام را وارد کنید:

Get-ADGroupMember -Identity "domain admins" | foreach { Get-ADUser $_ -Properties * }

فقط می توانید ویژگی های خاصی از کاربران را در یک گروه نمایش دهید. ویژگی های مورد نظر ما در انتهای دستور قید شده اند.

Get-ADGroupMember -Recursive "domain users" | ForEach {Get-ADUser -filter {samaccountname -eq $_.SamAccountName} -Properties displayName, company, title, department } | Format-Table displayName,company,department,title -AutoSize

لیست گروه های Active Directory که کاربر در آن عضو است می تواند با استفاده از دستورات زیر نمایش داده شود. نام کاربری مورد نظرتان را جایگزین کنید:

Get-ADPrincipalGroupMembership jbrion | Select name

یا

Get-ADUser jbrion -Properties Memberof | Select -ExpandProperty memberOf