Найдите вложенные группы в Active Directory

В этом руководстве я покажу вам, как найти вложенные группы AD с помощью PowerShell и AD Pro Toolkit. Вложенные группы в Active Directory могут предоставить пользователям нежелательные разрешения, поэтому важно регулярно их проверять.

В этой статье:

• Что такое вложенные группы
• Вариант 1. Найдите вложенные группы AD с помощью инструмента AD Pro Toolkit
• Опция 2. Получение членства в вложенных группах с помощью Powershell

Что такое вложенные группы

Вложенные группы — это когда одна группа Active Directory является членом другой группы. Вложенные группы наследуют права доступа той группы, членом которой они являются.

Например, у меня есть группа под названием «it_wrk_admins», и она является членом группы «Domain Admins». Все участники группы it_wrk_admins будут наследовать разрешения группы Domain Admins.

Вложенные группы AD могут упростить назначение разрешений на сетевые ресурсы, но могут быть большой риском, если не управлять ими внимательно. В приведенных ниже примерах я покажу вам, как можно просмотреть вложенные группы и участников группы.

Вариант 1. Найдите вложенные группы AD с помощью инструмента AD Pro Toolkit

Инструмент AD Pro Toolkit позволяет очень легко находить все вложенные группы в вашей среде Active Directory. Кроме того, существуют несколько отчетов о членстве в группах, которые можно запускать вручную или по расписанию.

Чтобы найти все вложенные группы в Active Directory, выполните следующие шаги.

1. Нажмите на «Групповые отчеты» и выберите отчет «Вложенные группы».
2. Нажмите «Запуск», чтобы сгенерировать отчет, или нажмите «Обзор», чтобы выбрать ОУ.
3. Чтобы экспортировать отчет, нажмите «Экспорт» и выберите csv, excel или pdf.

На скриншоте выше вы можете видеть, что у меня есть 17 вложенных групп в моем домене Active Directory. Например, Nest_group2 является членом Nest_group1. Вы можете раскроить родительскую группу, чтобы увидеть её участников.

Отчет о вложенном древе групп

Чтобы получить иерархический обзор всех вложенных групп, выполните отчет о дереве вложенных групп. Это группы, члены которых являются группами, затем проверяется дочерняя группа на наличие вложенных групп. Это покажет вам полную иерархию группы.

В вышеупомянутом примере Nest_group1 имеет трех членов группы. Некоторые из этих групп также имеют членов группы и так далее. Это может быть очень опасно и предоставлять пользователям нежелательные разрешения и доступ. Найти это с помощью скриптов PowerShell сложно и требует множества ручных шагов.

Просмотреть членство в группе AD

Чтобы проверить членство во всех или конкретных группах, нажмите на отчеты по группам > общий > отчет о членах группы.

По умолчанию этот отчет будет выполнен на всей доменной области, чтобы ограничить область, нажмите на 'обзор' или 'поиск'.

Для каждого члена его отображений вы можете выбрать несколько атрибутов пользователей/групп для включения.

Имя пользователя, Имя, Класс объекта, Группа, Тип группы, Область видимости, Описание, Имя, Фамилия, Офис, Телефон, Уличный адрес, Почтовый ящик, Город, Штат, Почтовый индекс, Электронная почта, Должность, Отдел, Компания, Менеджер, Дополнительные адреса, Инициалы, Отображение и Домашняя страница.

Опция 2. Получение членства в вложенных группах с помощью Powershell

В этом примере я использую команду Get-ADGroup, чтобы найти вложенные группы в Active Directory.

Шаг 1. Откройте PowerShell от имени администратора.

Шаг 2. Скопируйте и выполните команду ниже.

Get-ADGroup -filter * -Properties MemberOf | Where-Object {$_.MemberOf -ne $null} | Select-Object Name,MemberOf

Вы можете увидеть, что это отобразит все вложенные группы в домене. Например, группа "Account_Local" имеет члена, который является группой под названием "Accounting_Folders".

Вы также можете использовать командлет Get-ADGroupMember, который поддерживает рекурсивные запросы, это вернет участников любой вложенной группы.

Get-ADGroupMember nest_group1 -recursive | select name, objectclass

Проблема с вышеуказанной командой заключается в том, что она не показывает членство в группах. Команда Get-ADGroup является лучшим вариантом, чтобы увидеть, какие группы являются членами другой группы.

Заключение

В этом руководстве я показал, как найти вложенные группы в Active Directory с помощью PowerShell и набора инструментов AD Pro. Вложенные группы в AD могут привести к непреднамеренным правам доступа, наследуя права от родительской группы. Аудит и отчетность по вложенным группам могут быть сложными, так как группы могут быть вложены в несколько групп, и эти группы также могут быть вложены в другие группы. Это усложняет задачу для администраторов. Также может быть сложно написать сценарий PowerShell, который находит все группы, в которых является членом или членом. Инструмент управления группами GUI делает отчетность по вложенным группам очень простой.

Связано: Экспортировать участников группы в CSV