Найти отношение пользователя и группы AD через вложенные группы AD

Следующая версия не менее многословна (вероятно, могла бы быть написана намного короче, но я надеюсь, что сценарий хотя бы получитаем), но она выполняет поиск группы и возвращает объекты группы Active Directory для каждой группы. вдоль ветки, в которой была найдена группа.

function Get-GroupConnection
{
    [CmdletBinding()]
    PARAM (
        $Username,
        $GroupName
    )

    $User = Get-AdUser -Identity $Username -Properties MemberOf
    if (-Not ($User))
    {
        return;
    }

    $SearchedGroups = @()

    function Find-GroupBranches
    {
        [CmdletBinding()]
        PARAM (
            $GroupNameList,
            $SearchForGroupName
        )

        $ADGroups = $GroupNameList | Foreach { Get-ADGroup -Identity $_ -Properties MemberOf }

        foreach($group in $ADGroups)
        {
            Write-Verbose "Testing if either '$($Group.SamAccountName)' or '$($Group.DistinguishedName)' are equal to '$SearchForGroupName'"
            if ($Group.SamAccountName -eq $SearchForGroupName -OR $Group.DistinguishedName -eq $SearchForGroupName)
            {
                Write-Verbose "Found $($Group.DistinguishedName)"
                Write-Output $Group
                return
            }
        }

        Write-Verbose "No match in current collection, checking children"
        foreach ($currentGroup in $ADGroups)
        {
            if ($SearchedGroups -Contains $currentGroup.DistinguishedName)
            {
                Write-Verbose "Already checked children of '$($currentGroup.DistinguishedName)', ignoring it to avoid endless loops"
                continue
            }
            $SearchedGroups += $currentGroup.DistinguishedName

            if ($currentGroup.MemberOf)
            {
                Write-Verbose "Checking groups which $($currentGroup.DistinguishedName) is member of"

                $foundGroupInTree = Find-GroupBranches -GroupNameList $currentGroup.MemberOf -SearchForGroupName $SearchForGroupName
                if ($foundGroupInTree)
                {
                    Write-Output $currentGroup
                    Write-Output $foundGroupInTree
                    break
                }
            }
            else
            {
                Write-Verbose "$($currentGroup.DistinguishedName) is not member of any group, branch ignored"
            }
        }
    }

    Write-Verbose "Searching immediate group membership"
    Find-GroupBranches -GroupNameList $User.MemberOf -SearchForGroupName $GroupName
}

Get-GroupConnection -Username MyUser -GroupName SubSubGroup -Verbose

Далее следует описание того, как он выполняет поиск.

Учитывая следующую структуру Active Directory:

MyUser
    Domain Admins
        AnotherSubGroup
    Other Group
    DirectMemberGroup
        Domain Admins (same group as MyUser is direct member of, above)
            AnotherSubGroup (which is of course the same as above too)
        SubGroup
            SubSubGroup
    Some Other Group

Если мы ищем связь между MyUser и «SubSubGroup», скрипт сначала будет искать прямое членство пользователя MyUser, то есть «Администраторы домена», «Другая группа», «DirectMemberGroup» и «Некоторая другая группа». Ни один из них не соответствует искомой «SubSubGroup», поэтому он начинает проверять «дочерние» группы.

«Администраторы домена» являются членами «AnotherSubGroup», но это не соответствует «SubSubGroup». «AnotherSubGroup» не является членом какой-либо группы, поэтому эта ветвь игнорируется.

«Другая группа» не является членом какой-либо группы, поэтому эта ветвь игнорируется.

'DirectMemberGroup' является членом других групп, поэтому он выполняет итерацию по этим группам. Он уже проверил «Администраторы домена» на наличие детей, поэтому эта группа пропускается, чтобы не застревать в циклическом поиске. Поэтому он проверяет «Подгруппу».

«SubGroup» не соответствует «SubSubGroup», поэтому он проверяет группы, членом которых является «SubGroup». «SubGroup» является членом «SubSubGroup», поэтому проверяет эту группу.

«SubSubGroup» соответствует «SubSubGroup» и поэтому будет выбран в качестве совпадения.

В приведенном выше примере объект выходной группы будет ветвями, ведущими к группе SubSubGroup, в следующем порядке:

DirectMemberGroup
SubGroup
SubSubGroup

Обратите внимание, что этот метод вернет первое найденное соединение между пользователем и группой. Если, например, группа «Некоторая другая группа» также будет членом «Подподгруппы», это не изменит ни вывод, ни процесс поиска, упомянутый выше.