目录搜索器未返回所有结果

Question

>我创建了 2400 个安全组，并将所有这些安全组添加到用户中。当我使用DirectorySearcher查询活动目录时，我只得到2049个安全组。缺少其余安全组。我尝试了下面提到的分页方法，它仍然不起作用。获取所有安全组的理想方法是什么？

$gcName = "blahblah.com"
$dn =  "CN=blahblah,OU=Tenants,OU=INT,DC=dom,DC=abc,DC=def,DC=com"
$searchRoot = [ADSI]("LDAP://" + $gcName + "/" + $dn)
$searcher = New-Object System.DirectoryServices.DirectorySearcher($searchRoot, "(objectClass=*)", @("tokenGroups"), [System.DirectoryServices.SearchScope]::Base)
$searcher.PageSize=500
foreach ($SearchResult  in $searcher.FindAll()){$SearchResult.Properties["tokenGroups"].Count}      

编辑 1： 当我使用以下命令时，它不会返回安全组的完整列表。理想情况下，我希望这里的所有组以及其他一些用户属性。

$searchRoot = [ADSI]("LDAP://" + $gcName)
$searcher = New-Object System.DirectoryServices.DirectorySearcher($searchRoot, "(|((msOnline-WindowsLiveNetId=xxxxxx))((msOnline-AlternativeSecurityId=YYYYYYYY)))", @("name"))
$searcher.PropertiesToLoad.AddRange(@("msOnline-UserPrincipalName","objectClass","msOnline-AccountEnabled","displayName","proxyaddresses","memberOf"))
$sr = $searcher.FindOne()
$de= $sr.GetDirectoryEntry()
$de.RefreshCache(@("tokenGroups"))
$de.Properties["tokenGroups"].Count

当我使用以下内容时，它会返回所有组，但我没有得到用户属性。

$searchRoot = [ADSI]("LDAP://" + $gcName)
$searcher = [adsisearcher]::new($searchRoot, "(&(objectClass=group)(member=$dn))", @("name"))
$searcher.PageSize=500
$searcher.FindAll().Count

这也行不通。

$searchRoot = [ADSI]("LDAP://" + $gcName)
$searcher = [adsisearcher]::new($searchRoot, "((member=$dn))", @("name","msOnline-UserPrincipalName","tokenGroups"))
$searcher.PageSize=500
$searcher.FindAll().Count

我想要实现的只是通过一次搜索获得所有令牌组和少量用户属性。

Answer 1

PageSize仅影响搜索结果的数量，但只有一个搜索结果。您正在计算该结果的tokenGroups属性中的记录数。

一个可能的问题是tokenGroups只会显示安全组，因为它是为确定用户的权限而设计的。如果用户位于"组类型"为"分发"的任何组中，则这些组将不会包含在tokenGroups中。

如果 AD 林中只有一个域，则可以查看memberOf属性而不是tokenGroups。如果林中有多个域，则memberOf可能不会提供所有组。

您还可以更改搜索，以便查找具有该用户作为成员的所有组。那看起来像这样：

$gcName = "blahblah.com"
$dn =  "CN=blahblah,OU=Tenants,OU=INT,DC=dom,DC=abc,DC=def,DC=com"
$searchRoot = [ADSI]("LDAP://" + $gcName)
$searcher = [adsisearcher]::new($searchRoot, "(&(objectClass=group)(member=$dn))", @("name"))
$searcher.PageSize=500
$searcher.FindAll().Count

请注意，您可以将[adsisearcher]::new用作New-Object System.DirectoryServices.DirectorySearcher的缩写形式。