In der Active Directory Gruppen auslesen

Wie lassen sich am Windows Server die Active Directory Gruppen auslesen? Grundsätzlich gibt es am Windows Server hierfür verschiedene Möglichkeiten.

In dieser Anleitung möchte ich dir die gängigsten Varianten zeigen, welche du hierfür verwenden kannst.

Per GUI die Active Directory Gruppen auslesen.

Die einfachste Variante ist wohl die Verwendung der grafischen Oberfläche. Sofern du keinen Windows Core Server verwendest, ist diese Option auch möglich. Ein Core Server bietet dir nämlich keine grafische Oberfläche.

Vorgehensweise zum Auslesen der Gruppen:

• Öffne die Anwendung »Active Directory-Benutzer und -Computer«. Diese kannst du über den Servermanager öffnen, oder aber auch über das Windows-Startmenü.
• Wähle in der linken Spalte die gewünschten Organizational Unit (OU) der Domäne aus
• Im rechten Anzeigefenster scheinen dann sämtliche Gruppen und Benutzer.
• Über »Typ« kannst du die Reihenfolge ändern und siehst dann direkt alle Gruppen. Auch noch geordnet nach Typ: Global, Lokal und Universal.

Alternativ kannst du auch den Filter verwenden, um direkt nach speziellen Gruppen zu suchen. Im selben Menüfenster kannst du oben den Trichter verwenden, um dort einen bestimmten Filter anzuwenden. So z. B. die Filteroption Gruppen.

Mit der PowerShell die Active Directory Gruppen auslesen.

PowerShell ist ein mächtiges Werkzeug zur Verwaltung von Active Directory und erlaubt es dir, Gruppen effizient zu durchsuchen und zu filtern. Als Windows Administrator wird man langfristig die Windows PowerShell lieben lernen.

Sie ist ein hervorragendes Werkzeug für die Administration von Windows-Betriebssystemen. Vor allem im Bereich der Windows-Server-Administration ist die PowerShell sehr hilfreich.

Im Folgenden möchte ich dir einige Beispiele zeigen, wie du für das Active Directory Gruppen auslesen, die Windows PowerShell verwenden kannst. Ebenso noch ein paar weitere Beispiele, welche dir zeigen, welche umfangreichen Optionen die Windows PowerShell bietet.

Liste aller Gruppen in der Domäne auf

Get-ADGroup -Filter *

Alle Gruppen nach einem spezifischen Namen filtern

Get-ADGroup -Filter {Name -like "*Domänen*"}

Im obigen Beispiel wird nach Gruppen gesucht, welche als Namensteil das Wort »Domänen« enthalten.

Details zu einer bestimmten Gruppe anzeigen

Get-ADGroup -Identity "Domänen-Admins" -Properties *

Die obige Ausgabe zeigt dir sämtliche Eigenschaften der Gruppen »Domänen-Admins«. Du siehst nun alle Details zu dieser spezifischen Gruppe, einschließlich der Attribute wie Beschreibung, DisplayName, DistinguishedName usw.

Alle Mitglieder einer bestimmten Gruppe anzeigen.

Get-ADGroupMember -Identity "Domänen-Admins"

Dieser Befehl zeigt alle Mitglieder der angegebenen Gruppe an. In diesem obigen Beispiel alle Mitglieder der Gruppe »Domänen-Admins«.

LDAP-Abfragen mit dsquery und dsget in der cmd

Auch in der bekannten Eingabeaufforderung (cmd) gibt es die beiden Befehle dsquery und dsget um dir die Active Directory Gruppen anzeigen zu können. Im Grunde handelt es sich dabei um eine LDAP-Abfrage an das Active Directory.

Der Nachteil dieser Befehle ist allerdings, dass sie in der Weiterverarbeitung der Daten beschränkt sind. Die neue Windows PowerShell bietet dir hierfür wesentlich mehr Optionen.

Alle Active Directory Gruppen mit dsquery auflisten

dsquery group -limit 0

Mitglieder einer bestimmten Gruppe anzeigen

dsget group "CN=Domänen-Admins,OU=users,DC=schule,DC=local" -members

Active Directory Gruppen per ADSI-Editor anzeigen

Der ADSI-Editor ist ein mächtiges Tool, um tiefgehende Informationen aus dem Active Directory zu extrahieren. Aber es sollte grundsätzlich mit Vorsicht verwendet werden, da es direkt auf das Active-Directory-Schema zugreift.

1. Öffnen den ADSI-Editor über das Windows-Suchfeld
2. Verbinde dich mit dem Default Naming Context.
3. Navigiere zu der OU oder CN, von welcher du die Gruppen durchsuchen möchtest.
4. Über einen Klick auf die Gruppe siehst du deren Attribute (wie Mitglieder, Beschreibung usw.) im rechten Fensterbereich erhältst du noch detaillierte Informationen

Gruppen auslesen und exportieren per LDIFDE-Export

Zu guter Letzt gibt es auch noch den LDIFDE-Befehl. Dieser kann ebenso dazu verwendet werden, um die Active Direcotry Gruppen auszulesen. Mit diesem Befehl kannst du im Prinzip einen Export der Objektklasse »group« veranlassen. Die Liste speicherst du dann in einer Textdatei.

ldifde -f C:\Gruppenliste.txt -r "(objectClass=group)"

---

Fazit und Ausblick

Wie du der Anleitung entnehmen kannst, gibt es mehrere verschiedene Optionen, um die Active Directory Gruppen auslesen zu können. Je nach Anwendung kann die eine oder andere Variante am sinnvollsten sein.

Die meisten Optionen bietet dir die Windows PowerShell. Vor allem, weil du dadurch die Option hast, die Daten direkt weiterzuverarbeiten.