如何在 PowerShell 中将 SID 转换为帐户名？

Question

这个问题的灵感来自 this similar question 使用 C# 标记。如果我有一个 Windows SID，并且想将其转换为可读的帐户名称，如何使用 PowerShell 而不是 C# 来实现这一点？

现在，我有以下代码，用于检索当前登录用户帐户的组成员身份：

$Identity = [System.Security.Principal.WindowsIdentity]::GetCurrent();
$Identity.Groups;

Groups 属性的结果没有给我任何帐户名称，只有 SID。如果我将Groups 属性的输出通过管道传输到PowerShell 的Get-Member cmdlet，我可以看到生成的对象是System.Security.Principal.SecurityIdentifier 对象。但是，查看 the documentation（和 Intellisense）的 Groups 属性表明它正在返回一个 IdentityReferenceCollection 对象。

如何将这些SecurityIdentifier 对象转换为专有名称？

Answer 1

将 SID 解析为帐户名称的一种方法是使用 Win32_SID 类：

PS C:\> $sid = 'S-1-5-18'
PS C:\> [wmi]"Win32_SID.SID='$sid'"


__GENUS              : 2
__CLASS              : Win32_SID
__SUPERCLASS         :
__DYNASTY            : Win32_SID
__RELPATH            : Win32_SID.SID="S-1-5-18"
__PROPERTY_COUNT     : 5
__DERIVATION         : {}
__SERVER             : CARBON
__NAMESPACE          : root\cimv2
__PATH               : \\CARBON\root\cimv2:Win32_SID.SID="S-1-5-18"
AccountName          : SYSTEM
BinaryRepresentation : {1, 1, 0, 0...}
ReferencedDomainName : NT-AUTHORITY
SID                  : S-1-5-18
SidLength            : 12
PSComputerName       : CARBON

Answer 2

解决方法是使用SecurityIdentifier class 的Translate() method。此方法的单个参数是对要将 SecurityIdentifier 转换为的 .NET 类型的引用。如果您检查 this answer 到类似的 C# 问题，您会发现您可以简单地传递对 System.Security.Principal.NTAccount class 的引用。

生成的代码如下所示：

$Identity = [System.Security.Principal.WindowsIdentity]::GetCurrent();
foreach ($Group in $Identity.Groups) {
    $Group.Translate([System.Security.Principal.NTAccount]).Value;
}

Answer 3

看起来你已经有了答案——我不久前写了一个包装器，它还搜索well known SIDs 的列表，如果它有帮助的话。 ConvertFrom-SID

您可以将其提取出来的通用方法如下，其中 $sid 包含一个 SID 字符串：

$sid = '<SIDGoesHere>';
$objSID = New-Object -TypeName System.Security.Principal.SecurityIdentifier -ArgumentList $sid;
$name = $objSID.Translate([System.Security.Principal.NTAccount]).Value;

干杯！