尝试按用户类型过滤 Powershell 中的 AD 导出脚本？答案

【问题标题】：Trying to filter an AD export script in powershell by user type?尝试按用户类型过滤 Powershell 中的 AD 导出脚本？
【发布时间】：2013-12-18 20:09:16
【问题描述】：

我被要求从我们的 Windows server 2008 域中提取一份包含用户名、用户名、启用/禁用和上次登录时间的报告。我正在使用下面的脚本并且它正在工作，但问题是它正在提取内置安全帐户和一些系统帐户，我只需要用户。有谁知道这种过滤是否可行？我正在使用的脚本如下。提前致谢！

$ADUserParams=@{
'Server' = 'servername.domain.local'
'Searchbase' = 'DC=domain,DC=local'
'Searchscope'= 'Subtree'
'Filter' = '*'
'Properties' = '*'
}


$SelectParams=@{
'Property' = 'CN', 'SAMAccountname', 'DisplayName', 'enabled', 'lastlogondate',
}

get-aduser @ADUserParams | select-object @SelectParams  | export-csv "c:\temp\users.csv"

【问题讨论】：

您是否考虑过通过将包含用户的 OU 指定为 SearchBase 来缩小搜索范围，而不是搜索整个 NC？
问题是他们没有很好地组织他们的用户，他们分布在大约 90 多个 OU 中。这东西有点过头了，我不得不谷歌这个脚本。我是控制者……我们现在没有 IT 人员。 O.o

标签： windows-server-2008 active-directory powershell

【解决方案1】：

至少您需要将过滤器修改为：
'(&(|(objectclass=person)(objectclass=inetorgperson))(!(objectclass=computer)))'。

这仍然会留下您拥有的管理员、访客和域/领域信任，但除此之外它非常干净。

'(&(sAMAccountType=805306368)(!(isCriticalSystemObject=TRUE)))' 更简洁，可能正是您所需要的。这使用了sAMAccountType，但我从现有的 AD 用户中提取，而不是从头开始构建该值。

也没有Enabled 属性。您可以获得的最接近的是userAccountControl。 lastLogonDate 实际上是lastLogonTimestamp。

【讨论】：

【解决方案2】：

您对报告的部分要求是显示 AD 中的所有用户，这将包括系统和内置帐户。话虽如此，您可以在最简单的报告中排除包含您不想要的内置/系统帐户的 OU 或容器。看起来您正在尝试审核整个 AD DS，并且应该使用排除项，否则只包括包含用户帐户的 OU，只要在其他任何地方都可能没有用户帐户。

【讨论】：

抱歉复制粘贴，刚刚回复了另一个。任何帮助是极大的赞赏！！附：看起来像 HRAccount$ 的用户帐户是什么？我以前从未见过。谢谢！ “问题是他们没有很好地组织他们的用户，他们分布在大约 90 多个 OU 中。这东西有点超出我的想象，我不得不谷歌这个脚本顶部开始。我是控制器。 ..我们现在没有 IT 人员。O.o"
内置/系统帐户很少，可能值得像您一样从顶层运行它并过滤掉内置帐户。虽然此列表不是最新的，但您可以以此为参考ss64.com/nt/syntax-security_groups.html
感谢 TJ 的有用回答，非常感谢！我会继续标记它已解决。抱歉打扰您，但我似乎无法理解的一种帐户类型是一些奇怪的帐户，它们在报告中输出并且在它们之后有一个 $，例如“HRACCOUNT$”，但我无法在活动目录中找到它们.知道那些可能是什么吗？再次感谢您的帮助和耐心。
那些是计算机帐户（请参阅msdn.microsoft.com/en-us/library/windows/desktop/…）

【解决方案3】：

这实际上取决于您可以使用什么来分隔内置帐户和系统帐户。

最简单的方法是将 SearchBase 添加到您的 $ADUserParams：

$ADUserParams=@{
     'Server' = 'servername.domain.local'
     ...
     'SearchBase' = 'OU=Lemmings,DC=contoso,DC=com'
}

如果您需要过滤掉一个 OU，请尝试添加 Where-Object：

get-aduser @ADUserParams | ?{$_.DistinguishedName -notlike '*ou=Beancounters,*'} | select-object @SelectParams  | export-csv c:\temp\users.csv"

?{ } 位是Where-Object 命令的别名。 $_ 表示沿管道传递的对象。

不过，这一切都假设这些帐户完全由 OU 分开。我知道这在我的环境中是不正确的。

您可能需要玩一会儿，然后才能找到可以将您的用户完全分开的东西。将您的初始查询存储为变量$users = Get-ADUser @ADUserParams 可能会有所帮助，然后看看您可以挑选出什么：

$users | ?{$_.SomeProperty -eq 'SomeValue'}

尝试运行$users[0] 以了解可能有哪些属性可以帮助您过滤这些用户。如果您需要了解-eq 和-like 之类的内容，请查看here。

如果您要过滤的所有帐户都包含$ 之类的字符，您可以像这样过滤输出：

$users | ?{$_.SamAccountName -notlike "*$*"}

【讨论】：