Question

如何通过ADSI LDAP为用户获取这些属性，这些属性来自Get-ADUser，我需要ADSI的等价物。

启用
PasswordNeverExpires
PasswordExpired
名称
Sam帐户
邮件
PasswordLastSet

我的目标是为所有用户查询整个域并获取这些属性。

我尝试使用Get-ADUser cmdlet，并在查询用户时超时。

Get-ADUser -Filter * -Properties enabled,PasswordNeverExpires,passwordexpired,Name,SamAccountName,mail,passwordla‌stset -server sc |
   where {$_.Enabled -eq "True"} |
   where { $_.PasswordNeverExpires -eq $false } |
   where { $_.passwordexpired -eq $false } |
   Select Name,SamAccountName,mail,
          @{l='PasswordExpires';e={$_.passwordlastset+(Get-ADDefa‌ultDomainPasswordPolicy).MaxPasswordAge}},
          @{l='DaystoExpire';e={(New-TimeSpan -Start (get-date) -end ($_.passwordlastset+(Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge)).days}}

以上命令适用于几个用户，但如果我查询大量用户，则会给出无效的枚举上下文。

Answer 1

属性SamAccountName，Name和Mail对应于同名的AD属性。 PasswordLastSet源自属性pwdLastSet。其他3个属性（Enabled，PasswordNeverExpires和PasswordExpired）是userAccountControl属性中的标记。

使用带有LDAP查询的adsisearcher对象来搜索AD以查找用户对象，然后使用所需属性构建自定义对象：

$ACCOUNTDISABLE       = 0x000002
$DONT_EXPIRE_PASSWORD = 0x010000
$PASSWORD_EXPIRED     = 0x800000

$searcher = [adsisearcher]"(&(objectClass=user)(objectCategory=person))"
$searcher.FindAll() | % {
  $user = [adsi]$_.Properties.adspath[0]
  New-Object -Type PSCustomObject -Property @{
    SamAccountName       = $user.sAMAccountName[0]
    Name                 = $user.name[0]
    Mail                 = $user.mail[0]
    PasswordLastSet      = [DateTime]::FromFileTime($_.Properties.pwdlastset[0])
    Enabled              = -not [bool]($user.userAccountControl[0] -band
                           $ACCOUNTDISABLE)
    PasswordNeverExpires = [bool]($user.userAccountControl[0] -band
                           $DONT_EXPIRE_PASSWORD)
    PasswordExpired      = [bool]($user.userAccountControl[0] -band
                           $PASSWORD_EXPIRED)
  }
}

话虽如此，为什么你想要解决所有这些麻烦，而不是简单地将Get-ADUser用于同一目的？

Import-Module ActiveDirectory

$attributes = 'SamAccountName', 'Name', 'Mail', 'PasswordLastSet', 'Enabled',
              'PasswordNeverExpires', 'PasswordExpired'

Get-ADUser -Filter * -Properties $attributes | select $attributes

Answer 2

您可以在Get-Item Powershell驱动器上使用AD:\，此cmdlet接受-properties参数以检索指定的属性列表。使用星号会导致cmdlet检索所有属性。一个例子：

get-aduser -filter "sAMAccountName -like '*'" | % { get-item "AD:\$($_.distinguishedName)" -properties enabled,PasswordNeverExpires,passwordexpired,Name,SamAccountName,mail,passwordlastset }

编辑：对于计算出的属性，包括＆＃34;已启用＆＃34;，＆＃34;密码永不过期＆＃34;等，Get-ADUser也可以接受-properties参数，所以代码就是这样：

get-aduser -filter "sAMAccountName -like '*'" -properties enabled,PasswordNeverExpires,passwordexpired,Name,SamAccountName,mail,passwordlastset

星号也可以。

通过ADSI提取AD用户信息

2 个答案: