PS: Remote Auslesen von lokalen Gruppen/Benutzer, mit Firewall

[xola 10]

Hallo,

 

stehe vor einem kleinen Problem. Wir haben einen Server hinter einer Firewall. Auf dem läuft noch Win2003. Dort ist kein Powershell installiert.

Wir müssen mehrmals täglich ein Script starten (dieses wird von außerhalb der Firewall aufgerufen), dass diverse Sachen auf diesem Server auswertet. Da das Script um einige Funktionen erweitert werden soll, und ohnehin schon relativ alt ist, schreibe ich es gerade neu.

 

Unter anderem werden auch die lokalen Gruppen und dessen Mitglieder ausgelesen.

Dafür gibt es nun ja mehrere Methoden.

Die Methode per WMI (bzw. CIM) wird durch die Firewall blockiert.

Die Methode über invoke-command funktioniert nicht mangels installiertem Powershell auf dem Server.

Die einzige Methode, die zuverlässig funktioniert, ist ADSI.

 

Leider tut sich hier ein Problem auf. Wir haben >320 Gruppen. Wenn wir das Script laufen lassen, müssen wir immer eine Zahl angeben (die entspricht einem Ordner, respektive Projektnummer). Auf diesem Ordner sind (meistens) vier Gruppen berechtigt, die alle mit <Projektnummer>_* beginnen.

Um diese Gruppen auszulesen, muss das Script *alle* Gruppen des Servers auslesen und dann die gewünschten suchen:

([ADSI]"WinNT://"+$server+",computer").children | where { $_.SchemaClassName -eq "Group" } | where { $_.Path -like $projektnummer }

Das dauert aber extrem lange, da es so viele Gruppen sind.

Kann ich irgendwie einen Filter (mit Wildcards) setzen, damit bereits der Server das Filtern übernimmt? Das würde mein Script stark beschleunigen.

 

Gibt es noch einen anderen Weg, remote an die Gruppen und dessen Mitglieder zu kommen? Irgendwas "eleganteres", aber am Besten etwas schnelles.

 

Grüße, xola

[daabm 1.356]

WMI remote wäre wohl auch nicht schneller - wie sieht's mit psexec aus? Oder einfach ein geplanter Task LOKAL auf diesem Server, der die geforderten Daten in irgendeiner Form (CSV) erreichbar (Share oder Datenbank) bereitstellt... "Elegant" geht vmtl. nicht.

[Cybquest 36]

Bei ADSI gehen auch LDAP-Filter.

Wäre eh die Frage, warum Du nen WinNT-Provider statt LDAP hernimmst...