目录搜索器未返回所有结果

Question

我创建了 2400 个安全组并将所有这些安全组添加到用户。当我使用DirectorySearcher 查询 Active Directory 时，我只得到 2049 个安全组。其余安全组丢失。我尝试了下面提到的分页方法，它仍然不起作用。获得所有安全组的理想方式是什么？

$gcName = "blahblah.com"
$dn =  "CN=blahblah,OU=Tenants,OU=INT,DC=dom,DC=abc,DC=def,DC=com"
$searchRoot = [ADSI]("LDAP://" + $gcName + "/" + $dn)
$searcher = New-Object System.DirectoryServices.DirectorySearcher($searchRoot, "(objectClass=*)", @("tokenGroups"), [System.DirectoryServices.SearchScope]::Base)
$searcher.PageSize=500
foreach ($SearchResult  in $searcher.FindAll()){$SearchResult.Properties["tokenGroups"].Count}      

编辑 1： 当我使用以下命令时，它不会返回安全组的完整列表。理想情况下，我希望这里的所有组以及其他一些用户属性。

$searchRoot = [ADSI]("LDAP://" + $gcName)
$searcher = New-Object System.DirectoryServices.DirectorySearcher($searchRoot, "(|((msOnline-WindowsLiveNetId=xxxxxx))((msOnline-AlternativeSecurityId=YYYYYYYY)))", @("name"))
$searcher.PropertiesToLoad.AddRange(@("msOnline-UserPrincipalName","objectClass","msOnline-AccountEnabled","displayName","proxyaddresses","memberOf"))
$sr = $searcher.FindOne()
$de= $sr.GetDirectoryEntry()
$de.RefreshCache(@("tokenGroups"))
$de.Properties["tokenGroups"].Count

当我使用以下内容时，它会返回所有组，但我没有获取用户属性。

$searchRoot = [ADSI]("LDAP://" + $gcName)
$searcher = [adsisearcher]::new($searchRoot, "(&(objectClass=group)(member=$dn))", @("name"))
$searcher.PageSize=500
$searcher.FindAll().Count

这也不行。

$searchRoot = [ADSI]("LDAP://" + $gcName)
$searcher = [adsisearcher]::new($searchRoot, "((member=$dn))", @("name","msOnline-UserPrincipalName","tokenGroups"))
$searcher.PageSize=500
$searcher.FindAll().Count

我想要实现的只是通过一次搜索获取所有 tokenGroups 和少量用户属性。

Answer 1

PageSize 只影响搜索结果的数量，但只有一个搜索结果。您正在计算该结果的tokenGroups 属性中的记录数。

一个可能的问题是tokenGroups 只会显示安全组，因为它是为确定用户的权限而设计的。如果用户在“组类型”为“分发”的任何组中，则不会包含在tokenGroups 中。

如果您的 AD 林中只有一个域，则可以查看 memberOf 属性而不是 tokenGroups。如果您的林中有多个域，则 memberOf may not give you all the groups。

您还可以更改搜索，使其查找以该用户为成员的所有组。看起来像这样：

$gcName = "blahblah.com"
$dn =  "CN=blahblah,OU=Tenants,OU=INT,DC=dom,DC=abc,DC=def,DC=com"
$searchRoot = [ADSI]("LDAP://" + $gcName)
$searcher = [adsisearcher]::new($searchRoot, "(&(objectClass=group)(member=$dn))", @("name"))
$searcher.PageSize=500
$searcher.FindAll().Count

请注意，您可以使用[adsisearcher]::new 作为New-Object System.DirectoryServices.DirectorySearcher 的缩写形式。