Get-ADUSer: ค้นหาข้อมูลผู้ใช้ Active Directory ด้วย PowerShell

cmdlet PowerShell Get-ADUSer ช่วยให้คุณได้รับข้อมูลเกี่ยวกับผู้ใช้ Active Directory แอตทริบิวต์และการค้นหาระหว่างผู้ใช้โดเมน เป็นหนึ่งใน cmdlet ของ PowerShell ที่ได้รับความนิยมมากขึ้นสำหรับการรับข้อมูลจากโฆษณา เมื่อใช้ Get-ADUSer cmdlet คุณจะได้รับค่าของแอตทริบิวต์ใดๆ ของบัญชีผู้ใช้ AD แสดงรายชื่อผู้ใช้โดเมนด้วยแอตทริบิวต์ ส่งออกรายงานผู้ใช้เป็นไฟล์ CSV และใช้เกณฑ์ต่างๆ เพื่อเลือกและกรองผู้ใช้โดเมน

รับ ADUser Cmdlet ในโมดูล PowerShell ของ Active Directory

นี้

Get-ADUser

cmdlet รวมอยู่ในโมดูลพิเศษสำหรับการโต้ตอบกับ Active Directory - โมดูล Active Directory สำหรับ Windows PowerShell cmdlet ของโมดูล RSAT-AD-PowerShell ช่วยให้คุณสามารถดำเนินการต่างๆ บนวัตถุ AD

ในตัวอย่างนี้ เราจะแสดงวิธีใช้ Get-ADUSer PowerShell cmdlet เพื่อรับข้อมูลเกี่ยวกับครั้งล่าสุดที่รหัสผ่านของผู้ใช้ถูกเปลี่ยน เมื่อรหัสผ่านหมดอายุ และคุณสมบัติของผู้ใช้รายอื่น

หากต้องการใช้โมดูล RSAT-AD-PowerShell คุณต้องเรียกใช้คอนโซล PowerShell ที่ยกระดับ และนำเข้าโมดูลด้วยคำสั่ง:

Import-Module ActiveDirectory

โมดูล RSAT-AD-PowerShell ได้รับการติดตั้งตามค่าเริ่มต้นบน Windows Server 2012 (และใหม่กว่า) เมื่อคุณปรับใช้บทบาท Active Directory Domain Services (AD DS) ในการติดตั้งโมดูลบนโฮสต์ Windows Server ของสมาชิกโดเมน ให้รันคำสั่ง:

Install-WindowsFeature -Name "RSAT-AD-PowerShell" -IncludeAllSubFeature

ในการใช้ Get-ADUSer cmdlet บนเดสก์ท็อป Windows 10/11 คุณต้องติดตั้ง RSAT เวอร์ชันที่เหมาะสม คุณสามารถเปิดใช้งาน RSAT ผ่าน การตั้งค่า -> แอป -> คุณสมบัติเสริม -> เพิ่มคุณสมบัติ -> RSAT: บริการโดเมน Active Directory และเครื่องมือบริการไดเรกทอรีน้ำหนักเบา

คุณสามารถติดตั้งโมดูล RSAT AD บน Windows 10 และ 11 ด้วย PowerShell:

Add-WindowsCapability -online -Name "Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0"

หากไม่ได้ติดตั้งโมดูล RSAT-AD-PowerShell บนคอมพิวเตอร์ เมื่อคุณเรียกใช้คำสั่ง Get-ADUSer ข้อผิดพลาดจะปรากฏขึ้น:

Get-ADUser: The term 'get-aduser' is not recognized as the name of a cmdlet, function, script file, or operable program. Check the spelling of the name, or if a path was included, verify that the path is correct and try again.

ตรวจสอบว่าติดตั้งโมดูลแล้ว และถ้าจำเป็น ให้นำเข้าไปยังเซสชัน PowerShell ของคุณ:

Import-Module ActiveDirectory

Import-Module "C:\PS\AD\Microsoft.ActiveDirectory.Management.dll"
Import-Module "C:\PS\AD\Microsoft.ActiveDirectory.Management.resources.dll"

สามารถรับรายการอาร์กิวเมนต์ทั้งหมดของ Get-ADUSer cmdlet ได้ดังนี้:

help Get-ADUser

จะค้นหาผู้ใช้ AD และคุณสมบัติรายการด้วย Get-ADUSer ได้อย่างไร

หากต้องการแสดงรายการบัญชีผู้ใช้โดเมนทั้งหมด ให้รันคำสั่งนี้:

Get-ADUser -filter *

หากต้องการแสดงคุณสมบัติของผู้ใช้เฉพาะ ให้ใช้

-Identity

พารามิเตอร์. ข้อมูลประจำตัวอาจเป็นชื่อผู้ใช้ ล็อกอิน (SAMAccountName) DN (ชื่อเฉพาะ) SID หรือ GUID

คำสั่ง PowerShell ต่อไปนี้จะส่งกลับผลลัพธ์เดียวกันสำหรับบัญชีผู้ใช้ AD เดียวกัน:

Get-ADUser -Identity b.smith
Get-ADUser -Identity "CN=Brian Smith,OU=Users,OU=Berlin,DC=a-d,DC=loc"
Get-ADUser -Identity "Brian Smith"

ตามค่าเริ่มต้น Get-ADUser cmdlet จะส่งคืนแอตทริบิวต์ผู้ใช้พื้นฐานเพียง 10 รายการ (จากคุณสมบัติบัญชีผู้ใช้มากกว่า 120 รายการ): DistinguishedName, SamAccountName, Name, SID, UserPrincipalName, ObjectClass, สถานะบัญชี (เปิดใช้งาน: True/False ตาม UserAccountControl AD แอตทริบิวต์) เป็นต้น ในกรณีนี้ ผลลัพธ์ของ cmdlet ไม่มีข้อมูลเกี่ยวกับเวลาที่เปลี่ยนรหัสผ่านของผู้ใช้ครั้งล่าสุด

Get-ADUser -Server DC01.a-d.site -Identity tstuser

$ADcred = Get-Credential
Get-ADUSer tstuser -Server DC01.contoso.com -Credential $ADcred

หากต้องการแสดงข้อมูลโดยละเอียดเกี่ยวกับแอ็ตทริบิวต์ผู้ใช้ที่มีทั้งหมด ให้รันคำสั่งนี้:

Get-ADUser -identity tuser -properties *

cmdlet Get-ADUSer ที่มีสวิตช์ Properties * แสดงรายการแอตทริบิวต์และค่าของผู้ใช้ AD ทั้งหมด (รวมถึงค่าว่าง) รายการแอ็ตทริบิวต์ผู้ใช้ที่คล้ายกันมีอยู่ใน Active Directory Users และ Computers แบบกราฟิกสแน็ปอิน (

dsa.msc

) ภายใต้แท็บตัวแก้ไขแอตทริบิวต์

จากนั้นเราจะไปที่การจัดรูปแบบของเอาต์พุต Get-ADUSer เพื่อแสดงแอตทริบิวต์ผู้ใช้ที่จำเป็น ตัวอย่างเช่น คุณต้องการแสดงค่าของคุณสมบัติผู้ใช้ต่อไปนี้:

• รหัสผ่านหมดอายุ

• รหัสผ่านชุดสุดท้าย

• รหัสผ่านไม่มีวันหมดอายุ

• การประทับเวลาเข้าสู่ระบบล่าสุด

เรียกใช้คำสั่ง:

Get-ADUser tuser -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires, lastlogontimestamp

ขณะนี้ในข้อมูลผู้ใช้ มีข้อมูลเกี่ยวกับสถานะรหัสผ่านของบัญชี (หมดอายุ: จริง/เท็จ) วันที่เปลี่ยนรหัสผ่านครั้งล่าสุด และเวลาที่ผู้ใช้เข้าสู่ระบบโดเมนล่าสุด (

lastlogontimestamp

คุณลักษณะ). หากต้องการแสดงข้อมูลนี้ในมุมมองตารางที่สะดวกยิ่งขึ้นและลบแอตทริบิวต์ที่ไม่จำเป็นทั้งหมด ให้ใช้ Select-Object -Property และ Format-Table:

Get-ADUser -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires | ft Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires

รับ ADUser -SearchBase: รับผู้ใช้จาก OU เฉพาะ

หากต้องการแสดงเฉพาะผู้ใช้จากคอนเทนเนอร์โดเมนที่ระบุ (หน่วยขององค์กร) ให้ใช้พารามิเตอร์ -SearchBase :

Get-ADUser -SearchBase 'OU=London,DC=a-d,DC=loc' -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires | ft Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires

หากคุณต้องการเลือกผู้ใช้จาก OU หลายรายการพร้อมกัน ให้ใช้สคริปต์ PowerShell ต่อไปนี้:

$OUs = "OU=NY,DC=a-d,DC=com","OU=LA,DC=a-d,DC=com","OU=MA,DC=a-d,DC=com"
$OUs | foreach {Get-ADUser -SearchBase $_ -Filter * |select Name, Enabled}

วิธีรับที่อยู่อีเมลของผู้ใช้จาก AD โดยใช้ PowerShell

ที่อยู่อีเมลของผู้ใช้เป็นหนึ่งในแอตทริบิวต์วัตถุผู้ใช้ใน Active Directory ในการแสดงรายการที่อยู่อีเมลของผู้ใช้ คุณต้องเพิ่มฟิลด์ ที่อยู่อีเมล ลงในคุณสมบัติของ Get-ADUser cmdlet

Get-ADUser -filter * -properties EmailAddress -SearchBase 'OU=Paris,OU-Fr,DC=a-d,DC=com'| select-object Name, EmailAddress

รายการบัญชีผู้ใช้ที่เปิดใช้งานพร้อมที่อยู่อีเมล:

Get-ADUser -Filter {(mail -ne "null") -and (Enabled -eq "true")} -Properties Surname,GivenName,mail | Select-Object Name,Surname,GivenName,mail | Format-Table

วิธีรับรายชื่อผู้ใช้ Active Directory ที่ไม่มีที่อยู่อีเมล:

Get-ADUser -Filter * -Properties EmailAddress | where -Property EmailAddress -eq $null

ตัวอย่างต่อไปนี้ช่วยให้คุณสามารถส่งออกรายชื่ออีเมลของบริษัทจาก AD เป็นไฟล์ CSV หลังจากนั้น คุณสามารถนำเข้ารายการที่อยู่ CSV นี้ไปยังไคลเอนต์อีเมลบนเดสก์ท็อป เช่น Outlook หรือ Mozilla Thunderbird:

Get-ADUser -Filter {(mail -ne "null") -and (Enabled -eq "true")} -Properties Surname,GivenName,mail | Select-Object Name,Surname,GivenName,mail | Export-Csv -NoTypeInformation -Encoding utf8 -delimiter "," $env:temp\adress_list.csv

รับ ADUser: ส่งออกผู้ใช้ Active Directory เป็น CSV ด้วย PowerShell

รายการผลลัพธ์ของผู้ใช้โดเมนที่มีแอตทริบิวต์สามารถส่งออกไปยังไฟล์ข้อความได้:

Get-ADUser -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires | ft Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires > C:\temp\users.txt

หรือคุณสามารถส่งออกรายชื่อผู้ใช้ AD เป็นไฟล์ CSV:

Get-ADUser -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires | where {$_.name -like "*Dmitry*"} | sort-object PasswordLastSet | select-object Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires | Export-csv -path c:\tmp\user-passwords-expires.csv -Append -Encoding UTF8

ตัวอย่างตัวกรอง Get-ADUSer

เมื่อใช้สวิตช์ -ตัวกรอง คุณสามารถกรองรายการบัญชีผู้ใช้ตามแอตทริบิวต์อย่างน้อยหนึ่งรายการ สิ่งนี้มีประโยชน์สำหรับการค้นหาผู้ใช้ AD ที่มีแอตทริบิวต์ตรงกับเกณฑ์ที่ระบุ ค่าสำหรับแอตทริบิวต์เฉพาะของผู้ใช้ Active Directory สามารถระบุเป็นอาร์กิวเมนต์สำหรับพารามิเตอร์นี้ได้ เมื่อคุณใช้

-Filter

พารามิเตอร์ Get-ADUser cmdlet จะแสดงเฉพาะผู้ใช้ที่ตรงกับเกณฑ์การกรองเท่านั้น

ตัวอย่างเช่น ฉันต้องการแสดงรายการบัญชีผู้ใช้ที่ใช้งานอยู่ (เปิดใช้งานแล้ว) ซึ่งมีชื่อ “Dmitry” ตัวอย่างด้านล่างใช้ตัวกรองหลายตัว คุณสามารถรวมเงื่อนไขโดยใช้ตัวดำเนินการเปรียบเทียบ PowerShell แบบลอจิคัล ในตัวอย่างนี้ แอตทริบิวต์ของผู้ใช้ต้องตรงตามเงื่อนไขตัวกรองทั้งสอง (- และ):

Get-AdUser -Filter "(Name -like '*Dmitry*') -and (Enabled -eq 'True')" -Properties * |select name,enabled

สามารถใช้ตัวดำเนินการเชิงตรรกะของ PowerShell ทั้งหมดเพื่อเลือกค่าสำหรับแอ็ตทริบิวต์ผู้ใช้ (

-eq

,

-ne

,

-gt

,

-ge

,

-lt

,

-le

,

-like

,

-notlike

,

-and

,

-or

ฯลฯ)

นอกจากนี้ คุณสามารถจัดเรียงรายชื่อผู้ใช้ที่เป็นผลลัพธ์ตามแอตทริบิวต์ผู้ใช้เฉพาะด้วย cmdlet Sort-Object คุณยังสามารถใช้ cmdlet Where-Object เพื่อระบุเกณฑ์การกรองหลายรายการพร้อมกัน

Get-ADUser -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires -SearchBase 'OU=NY,DC=a-d,DC=com'| where {$_.name -like "*Dmitry*" -and $_.Enabled -eq $true} | sort-object PasswordLastSet | select-object Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires

ดังนั้น คุณจะได้รับรายชื่อผู้ใช้ที่มีแอตทริบิวต์ Active Directory ที่จำเป็น

หากต้องการค้นหาผู้ใช้จากหลายแอตทริบิวต์พร้อมกัน (legacyExchangeDN, proxyAddresses, SAMAccountName, Surname, DisplayName, SamAccountName, physicalDeliveryOfficeName, RDN และ msExchMailNickname) คุณสามารถใช้การแก้ไขชื่อที่ไม่ชัดเจน (

ANR

) คุณสมบัติ:

Get-ADUser -Filter {anr -eq 'John'} | select Name

คุณสามารถใช้ตัวกรอง LDAP ในแบบสอบถาม Get-ADUSer มีการระบุตัวกรอง LDAP โดยใช้แอตทริบิวต์ -LdapFilter

Get-ADUser -LDAPFilter '(&(department=it)(title=sysops))'

ตัวอย่าง PowerShell Get-ADUSer

มาแสดงตัวอย่างคำสั่ง PowerShell ที่มีประโยชน์มากขึ้นสำหรับการสอบถามผู้ใช้ Active Directory ด้วยตัวกรองต่างๆ คุณสามารถรวมเข้าด้วยกันเพื่อรับรายการวัตถุผู้ใช้ AD ที่ต้องการ:

ผู้ใช้ Display AD ซึ่งชื่อขึ้นต้นด้วย Joe:

Get-ADUser -filter {name -like "Joe*"}

คุณสามารถใช้ PowerShell เพื่อคำนวณจำนวนบัญชีผู้ใช้ทั้งหมดใน Active Directory:

Get-ADUser -Filter {SamAccountName -like "*"} | Measure-Object

ค้นหาบัญชีผู้ใช้ Active Directory ที่ปิดใช้งาน:

Get-ADUser -Filter {Enabled -eq "False"} | Select-Object SamAccountName,Name,Surname,GivenName | Format-Table

คุณสามารถตรวจสอบวันที่สร้างบัญชีผู้ใช้ Active Directory ได้ด้วยคำสั่ง:

get-aduser -Filter * -Properties Name, WhenCreated | Select name, whenCreated

คุณสามารถรับรายชื่อผู้ใช้ Active Directory ที่เพิ่มใหม่ที่สร้างขึ้นใน 24 ชั่วโมงที่ผ่านมา:

$lastday = ((Get-Date).AddDays(-1))
Get-ADUser -filter {(whencreated -ge $lastday)}

แสดงรายการบัญชีที่มีรหัสผ่านที่หมดอายุ (คุณสามารถกำหนดค่าตัวเลือกการหมดอายุของรหัสผ่านได้ในนโยบายรหัสผ่านของโดเมน):

Get-ADUser -filter {Enabled -eq $True} -properties name,passwordExpired| where {$_.PasswordExpired}|select name,passwordexpired

งาน: สำหรับรายการบัญชีผู้ใช้ที่จัดเก็บไว้ในไฟล์ข้อความ (หนึ่งบัญชีต่อบรรทัด) คุณต้องได้รับชื่อบริษัทของผู้ใช้จาก AD และบันทึกลงในไฟล์ CSV (คุณสามารถนำเข้าไฟล์ CSV นี้ไปยัง Excel ได้อย่างง่ายดาย) .

Import-Csv c:\ps\users_list.csv | ForEach {
Get-ADUser -identity $_.user -Properties Name, Company |
Select Name, Company |
Export-CSV c:\ps\users_ad_list.csv -Append -Encoding UTF8
}

ผู้ใช้ที่ไม่ได้เปลี่ยนรหัสผ่านโดเมนในช่วง 90 วันที่ผ่านมา:

$90_Days = (Get-Date).adddays(-90)
Get-ADUser -filter {(passwordlastset -le $90_days)}

ค้นหาบัญชีผู้ใช้ที่ไม่ได้ใช้งาน (ไม่ได้เข้าสู่ระบบโดเมนนานกว่า 180 วัน) แอตทริบิวต์ lastLogonTimestamp ใช้เพื่อรับประวัติการเข้าสู่ระบบของผู้ใช้ไปยังโดเมน:

$LastLogonDate= (Get-Date).AddDays(-180)
Get-ADUser -Properties LastLogonTimeStamp -Filter {LastLogonTimeStamp -lt $LastLogonDate } | ?{$_.Enabled -eq $True} |  Sort LastLogonTimeStamp| FT Name, @{N='lastlogontimestamp'; E={[DateTime]::FromFileTime($_.lastlogontimestamp)}} -AutoSize

หากต้องการรับรูปภาพของผู้ใช้จาก Active Directory และบันทึกเป็นไฟล์ jpg ให้รันคำสั่งต่อไปนี้:

$usr = Get-ADUser sjoe -Properties thumbnailPhoto
$usr.thumbnailPhoto | Set-Content sjoe.jpg -Encoding byte

ในการรับรายชื่อกลุ่มโฆษณาที่บัญชีผู้ใช้เป็นสมาชิกอยู่:

Get-AdUser sjoe -Properties memberof | Select memberof -expandproperty memberof

รายชื่อผู้ใช้จาก OU ที่เป็นสมาชิกของกลุ่มความปลอดภัยโดเมนเฉพาะ:

Get-ADUser -SearchBase 'OU=Rome,OU=Italy,DC=a-d,DC=com' -Filter * -properties memberof | Where-Object {($_.memberof -like "*CEO*")}

รายชื่อผู้ใช้จาก OU ที่เป็นสมาชิกของกลุ่มความปลอดภัยโดเมนเฉพาะ:

Get-ADUser -SearchBase 'OU=Rome,OU=Italy,DC=a-d,DC=com' -Filter * -properties memberof | Where-Object {($_.memberof -like "*CEO*")}

รายชื่อผู้ใช้ทั้งหมดจาก OU ยกเว้นสมาชิกของกลุ่มที่ระบุ:

$Users = Get-ADUser -filter * -SearchBase ‘OU=Berlin,DC=a-d,DC=com’ -properties memberOf
ForEach ($User In $Users)
{
$Groups = -join @($User.memberOf)
If ($Groups -notlike '*Domain Admins*')
{
$User.Name
}
}

การส่งออกรายชื่อผู้ใช้ AD ที่มีชื่อหน่วยงานไปยังตาราง Out-GridView:

get-aduser -filter * -Properties cn,canonicalname | select name,userprincipalname,@{Name="OU";expression={$_.Canonicalname.substring(0,$_.canonicalname.length-$_.cn.length)}}| Out-GridView

ตรวจสอบว่ามีบัญชีผู้ใช้ AD:

$SamAccountName='jbrown'
if (@(Get-ADUser -Filter { SamAccountName -eq $SamAccountName }).Count -eq 0)
{  Write-Host "User $SamAccountName doesn’t exist"}

รายชื่อคอมพิวเตอร์โดเมนที่ผู้ใช้ได้รับอนุญาตให้ลงชื่อเข้าใช้ (การจำกัดการเข้าสู่ระบบผ่านแอตทริบิวต์ LogonWorkstations AD)

Get-ADUser jbrown -Properties LogonWorkstations | Format-List Name, LogonWorkstations