在 powershell 中获取已启用且未锁定的 Active Directory 用户列表答案

【问题标题】：Get a list of enabled and not locked-out Active Directory Users in powershell在 powershell 中获取已启用且未锁定的 Active Directory 用户列表
【发布时间】：2019-09-25 07:47:56
【问题描述】：

我有以下 cmdlet：

  get-aduser -filter {Enabled -eq 'true' -and LockedOut -eq 'true'} -Properties samaccountname, givenname, sn, physicalDeliveryOfficeName | 
             Select-Object -Property samaccountname, givenname, sn, physicalDeliveryOfficeName |
             Export-Csv -Encoding Default -path $csvOutputPath -NoTypeInformation

现在我需要在上面的 get-aduser cmdlet 中添加一个过滤器以排除锁定的 AD 用户....但我不知道该怎么做....

我知道我可以使用以下方法获得锁定用户：

搜索-ADAccount -UsersOnly - 锁定

有什么想法吗？

【问题讨论】：

你不想要LockedOut -eq 'false'的过滤器吗？

标签： powershell cmdlets cmdlet

【解决方案1】：

如果您想将其保留在一个查询中，您可以针对 UserAccountControl 属性进行过滤。文档显示锁定的帐户标记了 0x0010（十六进制）或 16（十进制基数 10）位。因此，您应该能够使用按位与运算符（-band）来确定锁定状态。

get-aduser -filter {Enabled -eq 'true' -and (-not (UserAccountControl -band 16))} -Properties samaccountname, givenname, sn, physicalDeliveryOfficeName | 
             Select-Object -Property samaccountname, givenname, sn, physicalDeliveryOfficeName |
             Export-Csv -Encoding Default -path $csvOutputPath -NoTypeInformation

-not 运算符用于未锁定的帐户。如果您想查找被锁定的帐户，可以将其删除。

从技术上讲，您可以在整个过滤器中使用 UserAccountControl，但它不具备人类可读性。以下是-band 运算符如何在此处工作的示例：

# Enabled User not locked has useraccountcontrol = 512
[bool](512 -band 16)
False

# Enabled User locked has useraccountcontrol = 528
PS C:\temp\test1> [bool](528 -band 16)
True

# Locked Enabled User with expired password
[bool](8389136 -band 16)
True

有关用于确定 UserAccountControl 值的位的更多信息，请参阅UserAccountControl Flags。

有关按位运算符的更多信息，请参阅About_Arithmetic_Operators。

【讨论】：