在 Active Directory 中确定有效权限源答案

【问题标题】：determine effective permission source In Active directory在 Active Directory 中确定有效权限源
【发布时间】：2017-03-29 14:22:29
【问题描述】：

如何确定权限的来源？

来自域根目录的用户对所有组对象及其属性具有写入权限。我可以在有效权限中看到此访问权限，但我不知道它来自哪里。

ACLS 中的访问权限显示具有访问权限的帐户和组，但我不知道该访问权限来自何处。

这是我尝试过的

dsacls dc=contoso,dc=org|findstr "username"

但它什么也没做。

get-acl AD:dc=contoso,dc=org

【问题讨论】：

看看 PowerShell 的 NTFS 安全模块，它看起来可能有一些 cmdlet 可以满足您的需要：gallery.technet.microsoft.com/scriptcenter/…
stackoverflow.com/questions/27069043/…
我导入了那个模块。我看到的 ACE 并未将我指向许可。我可以看到权限是什么，但我看不到它们是如何确定的。

【解决方案1】：

而不是这个：

get-acl AD:dc=contoso,dc=org

你能试试这个吗：

get-acl "AD:\dc=contoso,dc=org"

如果将它通过管道传送到 Get-Member，您将能够看到所有有用的方法。您可以使用 Dot 直接访问它们。我相信这应该满足你的要求。

  (Get-Acl (Get-ADUser User).distinguishedname).access | select identityreference, accesscontroltype

对于非继承用户，请尝试以下操作； else 去掉 where 条件：

(Get-ACL "AD:CN=User,OU=Users,DC=Contoso,DC=com").Access | Where {$_.IsInherited -eq $FALSE}| Select IdentityReference,AccessControlType, IsInherited

【讨论】：