Netwrix Auditor for Active Directory
- Netwrix Auditor を実行 → 「Reports」に移動 → 「Active Directory」セクションを展開 → 「Active Directory - State-in-Time」に移動 → 「User Accounts - Group Membership」を選択 → 「View」をクリックします。特定のユーザーのグループ メンバーシップを検索することもできます。
- レポートを保存するには、 「Export」ボタンをクリック → ドロップダウン メニューから形式を選択 → 「Save」をクリックします。
ネイティブ ソリューション
- PowerShell ISEを開きます。
Windows マシンに Active Directory モジュールがインストールされていない場合は、OS に対応した正しい Remote Server Administration Tools (RSAT) パッケージをダウンロードする必要があります。
モジュールを有効化するには、昇格した PowerShell プロンプトから import-module ActiveDirectory コマンドを使用します。 - 次の PowerShell スクリプトのいずれかを実行し、対象の AD ユーザー アカウント名（samaccountname）とエクスポート先のパスを指定します。
Import-Module ActiveDirectory
$UserName = “Administrator“
$ReportPath = “C:\data\ADUserGroups.csv“
Get-ADPrincipalGroupMembershipwindows $Username | select name, groupcategory, groupscope | export-CSV C:\data\ADUserGroups.csv
- Get-ADPrincipalGroupMembership この cmdlet は、指定したユーザーの Active Directory のグループ メンバーシップを取得します。各グループについて、名前、カテゴリ（Security または Distribution）、スコープ（Global、Universal、または Domain Local）などの情報を表示します。この cmdlet は、グループの memberOf プロパティを直接参照します。上記のスクリプトは、パイプライン記号とともに export-CSV cmdlet を使用して出力を CSV ファイルとして生成し、MS Excel でそのファイルを開きます。
- Windows PowerShell の Get-ADUser cmdlet は、Active Directory ユーザーに関する情報を取得できます。Active Directory に格納されているユーザー オブジェクトの多数の属性を照会することが可能です。さらに、この cmdlet は、任意の AD パーティション、または AD LDS（Lightweight Directory Services）インスタンスでも機能します。以下のスクリプトでは -Properties パラメーターと MemberOf を値として使用し、グループの distinguished name を含む LDIF 形式のグループ一覧を取得します。この方法は、出力がデフォルトで distinguished name 形式になるため、レポーティングには適していません:
Import-Module ActiveDirectory
$UserName = “Administrator“
$ReportPath = “C:\data\ADUserGroups.txt“
#-Identity パラメーターを使用するか、値のみを $UserName として指定できます
(Get-ADUser $UserName –Properties MemberOf | Select MemberOf).MemberOf |Out-File -FilePath $reportpath
ログインしている Windows ユーザーに、スクリプトを実行するための権限がない場合は、-Credential パラメーターを通じてスクリプトを実行するための代替の認証情報を指定する必要があります。このパラメーターは、PowerShell の authentication を提供します。
Netwrix Auditor for Active Directory について詳しく学ぶ面倒な PowerShell の手作業なしで AD ユーザーのグループ メンバーシップ レポートを取得
最小権限の原則では、ユーザーのアクセス権を、日々の業務を行うために必要な特定の資産に限定することが求められます。不要な権限を削除することでセキュリティを強化し、ユーザーがアクセス権を悪用しようとした場合、またはアカウントが攻撃者やマルウェアによって侵害された場合に発生し得る被害を抑えることで、攻撃対象領域（attack surface area）を縮小できます。
ネイティブ ツールでこのベストプラクティスを実施するには、ADUC でユーザー オブジェクトのプロパティを手動で確認するか、PowerShell スクリプトを使って、特定のドメイン ローカル グループ名（例: EnterpriseAdmins および Domain Administrators）を詳述したレポートを生成し、対象のユーザー アカウントがどのグループに属しているかを手動で確認します。ただし、どちらの方法も貴重な時間を大きく消費します。さらに、Active Directory のグループ メンバーシップ リストを確認する作業は、セキュリティ グループ数が多く、ネストされたグループもあるため、特に複雑な環境では煩雑になりがちです。そのうえで、レポートをフィルタリングしたり、追加の詳細を加えたりしたい場合は、PowerShell スクリプト作成と cmdlet パラメーターに関するより高度な知識が必要になります。
Netwrix Auditor for Active Directory を使えば、特定のユーザーがどのグループのメンバーかを確認するために必要なあらゆる詳細が盛り込まれた、分かりやすいレポートを数クリックで取得できます。結果を簡単に CSV または PDF 形式でエクスポートし、部署の責任者に送って確認してもらうことも可能です。さらに、定期的なエンタイトルメント（権限）レビューに参加する必要がある自分や他の従業員向けにサブスクリプションを設定することもできます。指定したスケジュールに従って自動的に配信されるため、追加の手間は一切不要です。
共有する