ADFS не возвращает доменные группы (также странные проблемы с get-aduser) - PullRequest
Новая
       53

ADFS не возвращает доменные группы (также странные проблемы с get-aduser)

0 голосов
/ 15 мая 2018

Я пытаюсь помочь кому-то решить очень странную проблему AD \ ADFS, и у меня почти нет идей.

Мы используем ADFS для возврата групп безопасности (среди прочего), к которым принадлежит пользователь.Если у этого пользователя есть определенная группа, мы предоставляем ему доступ.Это то, что работает на нескольких других системах \ средах.В этом случае ADFS не возвращает какие-либо доменные группы для пользователя (и я проверил несколько пользователей).

Если я использую 

Get-aduser username -properties memberof | select -expandproperty memberof

, ничего не отображается.Если я сделаю 

get-aduser username -properties memberof | measureobject

, это даст мне счет 1.

Здесь все становится действительно интересным.

Если я проверю пользователя в ADUC, я увижучто он является членом доменных пользователей, но это все.Если я перейду к рассматриваемой группе в ADUC, она покажет, что этот пользователь также является членом этой группы (но НЕ показывает эту группу под этим элементом для данного пользователя.)

Если я проверяю get-adgroup, помните еепоказывает, что этот пользователь является членом группы, которую мне действительно нужно вернуть.Идентификатор безопасности для пользователя тот же, что и для принадлежности к группе, и для того, когда я использую get-aduser для проверки соответствующего пользователя (где эта группа не отображается).

Теперьвсе это в стороне - если я пойду и сделаю запрос в ADFS - я не получу никаких групп доменов, возвращаемых для рассматриваемого пользователя (ни пользователей домена, ни других, в которых он ДОЛЖЕН быть)

Я предполагаю, что этоЭто, как правило, связано с безопасностью, но я в растерянности.

Такая же точная конфигурация для ADFS идеально работает в нескольких моих тестовых средах.

Любые советы \ предложения?

1 Ответ

0 голосов
/ 15 мая 2018

Несколько вещей:

memberOf показывает только:

  1. Группы в вашем лесу AD с областью действия групп Universal
  2. Группы в одномдомен с областью действия группы Global

Это не показать:

  1. Группы с областью действия Local Local в любом домене
  2. Группы в других доменах вашего леса с областью действия Global

Более того: группа «Пользователи домена» немного странная.Члены этой группы обычно не входят в атрибут members этой группы.Пользовательские объекты имеют атрибут primaryGroupID, который содержит RID "основной группы" этого пользователя.RID является последней частью SID.Вот что делает их «членами» этой группы.

Все это означает, что вы не можете полагаться на memberOf.Вы можете искать для пользователя атрибут member групп (используя пользователя distinguishedName): 

Get-ADGroup -Filter { member -eq "distinguishedName" }

И если вам нужна основная группа, найдите ее также отдельно.

Но есть командлет PowerShell, который делает все это за вас: Get-ADPrincipalGroupMembership

Возвращает групповые объекты, поэтому, если вам просто нужно имя, перенаправьте его в Select: 

Get-ADPrincipalGroupMembership username | Select -ExpandProperty Name
...