TSQL: Comment obtenir une liste de groupes qu'un utilisateur appartient à Active Directory

Vous pouvez y parvenir en récupérant tous les groupes contenant l'utilisateur dans leur attribut membre, ou mieux le chemin LDAP de l'utilisateur (distinguéeName). Voici une procédure simple qui fait ce travail.

CREATE PROCEDURE dbo.GetLdapUserGroups
(
    @LdapUsername NVARCHAR(256)
)
AS
BEGIN
    DECLARE @Query NVARCHAR(1024), @Path NVARCHAR(1024)

    SET @Query = '
        SELECT @Path = distinguishedName
        FROM OPENQUERY(ADSI, ''
            SELECT distinguishedName 
            FROM ''''LDAP://DC=domain,DC=com''''
            WHERE 
                objectClass = ''''user'''' AND
                sAMAccountName = ''''' + @LdapUsername + '''''
        '')
    '
    EXEC SP_EXECUTESQL @Query, N'@Path NVARCHAR(1024) OUTPUT', @Path = @Path OUTPUT 

    SET @Query = '
        SELECT name AS LdapGroup 
        FROM OPENQUERY(ADSI,''
            SELECT name 
            FROM ''''LDAP://DC=domain,DC=com''''
            WHERE 
                objectClass=''''group'''' AND
                member=''''' + @Path + '''''
        '')
        ORDER BY name
    '
    EXEC SP_EXECUTESQL @Query

END

En réalité, reportez-vous à la liste de tous les groupes auxquels un utilisateur appartient n'est pas aussi simple / facile qu'il semble. Pour autant que je ne connaisse ni PowerShell ni d'autres scripts ne peuvent fournir des résultats complètement précis, même lors de la récupération de l'attribut TokenGroups, car afin de faire cette détermination, il faut également envisager l'adhésion à des groupes de construction, qui sont spécifiques à un domaine.

Il y a un fil très utile sur ActiveDirSec.org que je pense que vous pourriez trouver utile - Comment énumérer la liste de tous les groupes de sécurité de domaine Active Directory qui appartient à un utilisateur?

Dans mon expérience, j'ai appris que ce n'est pas aussi facile qu'il y paraît, et à moins que vous ayez un moyen de vérifier la sortie à coup sûr, il n'est également aucun moyen de savoir si votre script fournit les bons résultats.

Procédure stockée ci-dessous, exécutez l'exemple:

get_adgroups_foruser strong> 'beau.holland' --Accountname P> blockQuote>

Remarque: Remplacez LDAP: // DC = Domain, DC = local avec votre propre domaine. P>

CREATE PROCEDURE dbo.Get_ADGroups_ForUser
(
    @Username NVARCHAR(256) 
)
AS
BEGIN

    DECLARE @Query NVARCHAR(1024), @Path NVARCHAR(1024)

    -- Find the fully qualified CN e.g: CN=Beau Holland,OU=Users,OU=Australia,OU=NSO,OU=Company,DC=Domain,DC=local
    -- replace "LDAP://DC=Domain,DC=local" with your own domain
    SET @Query = '
        SELECT @Path = distinguishedName
        FROM OPENQUERY(ADSI, ''
            SELECT distinguishedName 
            FROM ''''LDAP://DC=Domain,DC=local''''
            WHERE 
                objectClass = ''''user'''' AND
                sAMAccountName = ''''' + @Username + '''''
        '')
    '
    EXEC SP_EXECUTESQL @Query, N'@Path NVARCHAR(1024) OUTPUT', @Path = @Path OUTPUT 

    -- get all groups for a user
    -- replace "LDAP://DC=Domain,DC=local" with your own domain
    SET @Query = '
        SELECT cn,AdsPath
        FROM OPENQUERY (ADSI, ''<LDAP://DC=Domain,DC=local>;(&(objectClass=group)(member:1.2.840.113556.1.4.1941:=' + @Path +'));cn, adspath;subtree'')'

    EXEC SP_EXECUTESQL @Query  

END
GO