Mitgliedschaften in AD-Gruppen ohne Active Directory Modul prüfen

[WPS 10]

Guten Abend,

ich hab da grade ein Problem wo ich bei meiner Recherche keine Lösung gefunden habe.

Ich möchte ein Powershell-Skript bei der Anmeldung laufen lassen, wo dann im Skript aufgrund von Gruppenmitgliedschaften bestimmte Aktionen ausgeführt werden.
Da das Skript auf dem den Clients ausgeführt wird, kann ich leider nicht auf das Active Directory Modul zurückgreifen um die Gruppenmitgliedschaften zu prüfen.

Hatte da an wmi gedacht, aber da leider keine performante Lösung gefunden.

Hat jemand von euch einen Ansatz wie man das am besten lösen kann?

[Nobbyaushb 1.471]

vor 5 Minuten schrieb WPS:

 

Da das Skript auf dem den Clients ausgeführt wird,

Warum?

Auch lokal sehe ich - Anmeldung ander Domäne vorausgesetzt - mit whoami /groups die Mirgliedschaften

[MurdocX 949]

Das halte ich für eine schlechte Idee. Die Latenz und Komplexität des Skriptes ist hoch. Meist wird der Vorteil einfach überschätzt.

 

Möglicherweise gibt es Alternativen. Wir können unterstützen, wenn wir mehr über den Hintergrund kennen.

[WPS 10]

Hallo Norbert,

danke für den Tipp, so würde es zumindest funktionieren.

if (whoami /groups | Select-String -Pattern "Gruppe A") {Skriptblock A}

Ob das ein guter Ansatz ist steht noch auf einen anderen Blatt. Das ist ja oft so, dass etwas zwar funktioniert, aber es trotzdem viel bessere Lösungen gibt. 

Hallo Jan,

whoami /groups hältst du für eine schlechte Idee?

Was müsst ihr über den Hintergrund wissen? 

Das Skript soll bei der Anmeldung für alle Benutzer laufen und dann für alle Mitglieder von Gruppe A Skriptblock A ausführen,
und für alle Mitglieder von Gruppe B Skriptblock B ausführen. 

bearbeitet 8. November 2023 von WPS

[MurdocX 949]

vor 54 Minuten schrieb WPS:

Das Skript soll bei der Anmeldung für alle Benutzer laufen und dann für alle Mitglieder von Gruppe A Skriptblock A ausführen,
und für alle Mitglieder von Gruppe B Skriptblock B ausführen.

Das habe ich mir schon gedacht  Es geht um den Inhalt des Skriptblocks. Möglicherweise können wir hier ansetzen. Geht’s um Netzlaufwerke?

[WPS 10]

Wir haben mehrere Druckserver die durch neue Druckserver abgelöst werden sollen und das Entfernen der alten Netzwerkdrucker und hinzufügen der neuen Netzwerkdrucker soll automatisch passieren. Anhand der Gruppenmitgliedschaften möchte ich etwas steuern ob nur dokumentiert umgestellt oder gar nichts gemacht wird.

Kann mir auch vorstellen, dass das Thema prüfen von Gruppenmitgliedschaften auch mal in zukünftigen Skripts hilfreich sein kann.

[NilsK 2.932]

Moin,

 

whoami ist so ziemlich die effizienteste Lösung, weil sie die tatsächlichen Mitgliedschaften auswertet und keinen Zugriff auf das Netzwerk braucht. Sie nutzt das Access Token des Users.

 

Gruß, Nils

[cj_berlin 1.312]

+1

 

Und weil DOS-Befehle in PowerShell-Skripten hässlich sind,

([System.Security.Principal.WindowsIdentity]::GetCurrent()).Groups

 

[NilsK 2.932]

Moin,

 

das ist ja auch kein DOS.

 

Gruß, Nils

 

[WPS 10]

Danke für eure Tipps! Ich hab es jetzt mit whoami /groups gelöst.

[Nobbyaushb 1.471]

Ergänzend zu dem Thema:

wir hatten zusätzlich zu den GPO noch ein Startscript in Verwendung das man nicht unterbrechen kann

Damit lassen sich viele Dinge besser als mit GPO regeln

http://www.kixtart.org

Finde ich aktuell komisch, das die kein Zertifikat auf ihrer Webseite haben, trotzdem mal bitte lesen!

 

[NilsK 2.932]

Moin,

 

Das passt jetzt aber nur sehr begrenzt zum Thema, weil ein Startscript vor der Anmeldung läuft und daher gar keine Gruppen ausgewertet werden können.

 

Gruß, Nils

[Nobbyaushb 1.471]

@NilsK das habe ich ggf. falsch ausgedrückt

Das ist ein Logon-Script und läuft immer unter dem User-Kontext

Also passt doch...

[NilsK 2.932]

Moin,

 

Ah, okay. Dann nehme ich alles zurück und behaupte das Gegenteil. 

 

Gruß, Nils

bearbeitet 11. November 2023 von NilsK

[daabm 1.354]

Für die, die whoami nutzen wollen - das kennt auch /fo csv, damit kann man den Output in Powershell recht komfortabel weiterverarbeiten...

$groups = whoami /groups /fo csv | ConvertFrom-Csv