为什么此 PowerShell AD 查询中缺少“域用户”组？

Question

我运行以下 PowerShell 脚本来比较组列表....

$dasMem = Get-ADUser -Server "<some-srv>" -Identity "<some-usr>" -Properties MemberOf | Select MemberOf
$blahx = $dasMem.MemberOf | % { $_ -replace "^CN=", "" } | % { $_ -replace ",.*$", "" } | sort
$blahx

当我得到列表时，我最终得到了一个缺失的组，Domain users我认为这是一个标准的默认组。当我提取脚本时，它是否有任何原因丢失？

需要明确的是，我能够在 中看到该组Active Directory Users and Computers，但无法从上面的脚本中看到。

Answer 1

听起来很傻，这是因为域用户实际上不在memberOf属性中。您可以通过打开View - Advanced Features，转到Attributes对象上的选项卡并打开memberOf属性（而不是“成员”选项卡）在 ADUC 中进行验证。

您在 ADUC 中的对象属性上看到的“成员属于”选项卡实际上是 memberOf 属性和primaryGroupID 属性的集合。默认情况下，AD 中的用户通过这个primaryGroupID 属性而不是memberOf 中的条目获得他们的域用户成员资格。尽管可以更改 primaryGroupID，但大多数人不会。