无法列出企业管理员的所有成员

Question

我相信我快疯了，但也许我错过了什么。我正在尝试枚举企业管理员的所有成员。当我查看 DSA.MSC GUI 工具时，我看到类似这样的内容，没有嵌套：

John
Bill
Jim
Sue
Mary
Spiderman

当我执行 LDP.EXE、PowerShell 或 ADSIEDIT 查询时，我只看到：

John
Bill
Sue
Mary

以下是我试图找出这个增量的一些方法：

• 查看了 ADSIEDIT 中的 Enterprise Admins 并查看了成员属性。不列出蜘蛛侠
• 查看了 LDP.EXE 中的 Enterprise Admins 并查看了成员属性。不列出蜘蛛侠

运行以下 PowerShell 查询

Get-ADgroup 'enterprise admins' -properties members | 
    select -Expandproperties members
# No Spiderman listed

Get-ADuser spiderman -properties memberof | 
    select -Expandproperties memberof
# No Enterprise Admins listed

Get-ADObject (Get-ADuser spiderman) -properties memberof | 
    select -Expandproperties memberof
# No Enterprise Admins listed

Get-AdObject (Get-ADgroup 'enterprise admins') -properties member | 
    select -Expandproperties members
# No Spiderman listed

Get-ADGroupMembers 'Enterprise Admins'
# **Spiderman listed!!!!!!**

我在这里错过了什么！为什么蜘蛛侠会在 ADUC/Get-AdGroupMembers 中列出，而在其他任何地方都没有。我要疯了吗？

Answer 1

在 Windows 中，primaryGroupID 表示帐户的主要组由 posix subsystem 使用。

一般如Bill_Stewart 所说，永远没有理由更改primaryGroupID 属性。 （自 Windows Server 2003 起）

primaryGroupID 属性： The user is a member of its primary group, although the group is not listed in the user's memberOf attribute. Likewise, a group object's member attribute will not list the user objects whose primaryGroupID is set to the group.

Answer 2

显然，如果我将主要组 ID 切换为 Enterprise admins，它会将其从传统查询中隐藏起来。一旦我将其切换回域用户，我就可以将查询拉回来。

我想知道为什么会这样。