通过 PowerShell 的 AD 模块根据列表验证域管理员

Question

我遇到了某些管理员临时将用户提升到域管理员以进行故障排除的问题。我被要求创建一个脚本来每晚检查 Domain Admins 组，并删除任何不属于该组的用户，而不是从图片中删除上述管理员。

我需要它来根据 txt 或 csv 中的 givin 列表验证 Domain Admins 组。我可以每晚从组中删除everone，然后重新读取所需的用户，但是如果有人在这种情况下登录或注销，这可能会产生问题。

有人可以帮忙吗？到目前为止，我已经设法通过管道 get-adgroup 和 export-csv 导出组内的用户列表。但我未能尝试获取用户列表并与现有列表进行比较。

Answer 1

这是我刚刚为你写的一个小脚本。首先，您需要使用默认成员创建一个默认文本文件。我将文件命名为 PreviousMembers.txt

Import-Module ActiveDirectory

Get-AdGroupMember "Domain Admins" | Select Name | Out-File C:\Scripts\PreviousMembers.txt

现在，将以下行保存在 ADGroupMembersDiff.ps1 中并随时运行以获取当前的成员列表。您需要确保文件位于您在下面指定的相同位置，并且文件名也必须相同。

Import-Module ActiveDirectory

$pattern = ".*"
Get-AdGroupMember "Administrators" | Select Name | Out-File C:\Scripts\CurrentMembers.txt 
(Get-Content C:\Scripts\CurrentMembers.txt) | ? {$_.trim() -ne "Name" -and $_.trim() -ne "----" -and $_.trim() -ne "" } | Set-Content C:\Scripts\CurrentMembers.txt
(Get-Content C:\Scripts\PreviousMembers.txt) | ? {$_.trim() -ne "Name" -and $_.trim() -ne "----" -and $_.trim() -ne "" } | Set-Content C:\Scripts\PreviousMembers.txt
$comparedLines = Compare-Object (Get-Content C:\Scripts\PreviousMembers.txt) (Get-Content C:\Scripts\CurrentMembers.txt) -IncludeEqual | Sort-Object { $_.InputObject.ReadCount } 
$lineNumber = 0

$comparedLines | foreach {
    if($_.SideIndicator -eq "==" -or $_.SideIndicator -eq "=>")
    {
        $lineNumber = $_.InputObject.ReadCount
    }
    if($_.InputObject -match $pattern)
    {
        if($_.SideIndicator -eq "==")
        {
            $lineOperation = "No Change"
        }
        ElseIf($_.SideIndicator -eq "=>")
        {
            $lineOperation = "New User"
        }
        Elseif($_.SideIndicator -eq "<=")
        {
            $lineOperation = "Default User"
        }
        $HashChanges = @{
        Line = $lineNumber
        Operation = $lineOperation
        Users = $_.InputObject
        }
        New-Object psobject -Property $HashChanges | select Users, Operation
    }
}

这是输出的样子。

Users                       Operation
_____                       ______
John Hancock                New User
Thomas Edison               Default User
George Washington           New User
Thomas Jefferson            No Change

祝你好运，

T|CK

Answer 2

MJOLINOR 提出了完美的建议。以下是有关受限组的一些详细信息...

通过创建受限组 GPO 并将其链接到域控制器 OU，我能够将所需组添加到新创建的 GPO，告诉 GPO 哪些用户属于所需组，现在每 16 小时我想要的组（域管理员）将根据新的 GPO 进行验证。因此，如果用户是不属于新 GPO 的成员，他们将被删除，如果已删除的用户属于新 GPO 的一部分，他们将被添加。

谢谢！我希望这对其他人有所帮助。

Answer 3

我只使用受限组来修改客户端计算机上本地组的成员资格。我从来没有用它来修改域组的成员资格。事实上，Microsoft 声明 Restricted Group 的意图不是针对域组。

...Restricted Groups is a client configuration means and cannot be used with Domain Groups...