Grundsätzlich geht das auch ohne Zusatztools:
$username = "proftest"
Add-Type -AssemblyName System.DirectoryServices.AccountManagement
$ct = [System.DirectoryServices.AccountManagement.ContextType]::Domain
$user = [System.DirectoryServices.AccountManagement.UserPrincipal]::FindByIdentity($ct,$username)
$groups = $user.GetAuthorizationGroups()
$ADsearcher = New-Object System.DirectoryServices.DirectorySearcher
$ADsearcher.Filter = "(objectcategory=OrganizationalUnit)"
$allobj = $ADsearcher.findall()
foreach ($obj in $allobj) {
$permissions = $obj.GetDirectoryEntry().get_ObjectSecurity().Access
foreach ($permission in $permissions) {
$id = $permission.IdentityReference.tostring().split("\")[1]
if ( $id -eq $username) {
Write-Host "~~~~~~~~~~~~~~~~~`rObject:" $obj.properties.name "/ " $obj.properties.objectclass "/ " $permission.ObjectType "/ " $permission.inheritedObjectType
Write-host $permission.IdentityReference " : " $permission.ActiveDirectoryRights " (" $permission.AccessControlType ")"
}
foreach ($group in $groups) {
if ( $id -eq $group.name) {
Write-Host "~~~~~~~~~~~~~~~~~`rObject:" $obj.properties.name "/ " $obj.properties.objectclass "/ "$permission.ObjectType "/ " $permission.inheritedObjectType
Write-host $permission.IdentityReference " : " $permission.ActiveDirectoryRights " (" $permission.AccessControlType ")"
}
}
}
}
Damit listest du
alle Rechte auf AD-Objekte die ein User direkt oder über Gruppenmitgliedschaften erhalten hat. Ohne Filterung nach bestimmten Objekten, Gruppentiefe und bestimmten Rechten macht das in der Praxis aber keinen Sinn, da die
Liste z.b. nur der Leserechte außerordentlich lang werden kann. :)
Das gilt allerdings auch für LIZA und dcacls.
Grüße, Denniver
http://bytecookie.wordpress.com/
