获取没有AD搜索的计算机组成员资格

Question

是否有相同的功能可以获得计算机的AD组成员身份，而无需运行AD搜索？我需要能够检索AD中计算机组成员身份的组SID，即使计算机没有连接到域控制器，作为标准用户帐户运行。

除了当前的计算机帐户外，基本上都在寻找相应的内容。

$groups = [System.Security.Principal.WindowsIdentity]::GetCurrent().Groups

Answer 1

我通过逆向工程gpresult研究了如何做到这一点。为此，首先作为管理员，我授予标准用户访问WMI命名空间root\rsop\COMPUTER

的权限

我更愿意不用这样做，但需要进一步调查。

使用脚本Set-WmiNamespaceSecurity.ps1

一次设置机器

Set-WmiNamespaceSecurity.ps1 root/rsop/COMPUTER add Users Enable 

现在我可以作为标准用户从机器中检索Active Directory计算机组SIDs，即使它没有连接到具有以下PowerShell的网络：

(Get-WmiObject -Namespace "root\rsop\COMPUTER" -Class RSOP_Session -Property SecurityGroups).SecurityGroups