ユーザーの AD グループを取得する方法

Netwrix Auditor for Active Directory

• Netwrix Auditor を実行します。 “Reports” に移動 -> “Predefined” をクリック -> “Active Directory” セクションを展開 -> “Active Directory – State-in-Time” に移動 -> “Group Members” を選択 -> “View” をクリックします。
• 「Status」フィールドに「Enabled」を指定し、「Member Type」フィールドに「user」と入力します。→「View Report」をクリックしてください。
• レポートを確認してください：

• レポートをファイルにエクスポートするには、「Floppy」ボタンをクリックして、希望する形式を選択します。

詳しくは「Netwrix Auditor for Active Directory

ネイティブ ソリューション

• ドメイン コントローラーで PowerShell ISE を開き、次の PowerShell スクリプトを実行します:

      import-module activedirectory 
$Path = "C:\Temp\UserGroups.csv" 
$username = "*" 
$ADuser = Get-ADUser -filter {(Name -like $username -or SamAccountName -like $username) -and (Enabled -eq $true)}  

$out = foreach($user in $ADuser)    { 
   $groups = Get-ADPrincipalGroupMembership $user 
   foreach ($group in $groups){ 
   $rec = New-Object PSObject 
       foreach($GP in $group.psobject.Properties) { 
               foreach($UP in $user.psobject.Properties) { 
               $rec | Add-Member -Type NoteProperty -Name ("U_" + $UP.Name) -Value $UP.value -Force 
               $rec | Add-Member -Type NoteProperty -Name ("G_" + $GP.Name) -Value $GP.value -Force 
               } 
       } 
       $rec|select U_Name, U_DistinguishedName,G_name,G_GroupCategory, G_GroupScope, G_distinguishedName 
   } 
} 
$out |Export-Csv $Path -NoTypeInformation
      

単一ユーザーの識別情報に対してのみグループ名を一覧表示する場合は、「*」をユーザー アカウント名に置き換えます。

情報量を減らしたサマリー レポートの場合は、 $rec|select のステートメントからフィールドを省略できます。

U_Name（または U_SamAccountName）と G_name（または G_SamAccountName）だけを残すことで、「ユーザー名 + グループ名」のサマリーのみを取得できます。

• .csv レポートを確認します:

AD グループのメンバーシップ レポートを取得する

ベストプラクティスでは、ユーザーにアクセス権を割り当てるために AD グループを使用することが推奨されています。とはいえ、時間が経つにつれて AD グループの構造がかなり複雑になり得るため、誰が何にアクセスできるのかを把握しにくくなります。アクセス権を確認したり、権限の問題を手作業で切り分けたりするには、ドメイン管理者が、ユーザーがどのグループのメンバーになっているかを確認し、そのうえで一覧にある各グループに付与されている権限をレビューする必要があります。

ユーザーのグループ メンバーシップ情報をより簡単に取得する方法は、PowerShell を使用することです。AD の構造が分かりやすい場合、Active Directory PowerShell モジュールの Get-ADPrincipalGroupMembershipcmdlet を使って、グループとユーザーのパスを取得できます。（コンピューターのメンバーシップを一覧表示するには、別のコマンドを使用する必要があります。）ただし、組織にグループ名が大量にある場合、PowerShell は、たまに行う一時的な（ad-hoc）分析以外の用途には現実的な選択肢になりません。

Netwrix Auditor は、グループ メンバーシップの確認とトラブルシューティングを大幅に簡素化します。あらかじめ用意されたレポートを実行するだけで、ユーザーの AD グループを取得できます。PowerShell を使う必要がないため、スクリプトの作成やメンテナンスに時間を費やす必要はありません。エンタープライズ管理者は、必要な情報をすぐに簡単に見つけて、CSV、XLSX、さらには PDF にエクスポートできるため、定期的なレビューがしやすくなり、問題解決も迅速化します。