Cómo obtener la membresía de grupo de usuario de AD con o sin PowerShell

Netwrix Auditor for Active Directory

1. Ejecute Netwrix Auditor → Vaya a "Informes" → Despliegue la sección "Active Directory" → Acceda a "Active Directory - Estado en el Tiempo" → Seleccione "Cuentas de Usuario - Membresía de Grupo"→ Haga clic en 'Ver'. También puede buscar la membresía de grupo para un usuario específico.
2. Para guardar el informe, haga clic en el botón "Exportar" → Elija un formato del menú desplegable → Haga clic en "Guardar".

---

Solución nativa

1. Abra el PowerShell ISE.
   Si no tiene instalado el módulo de Active Directory en su máquina Windows, necesita descargar el paquete correcto de Remote Server Administration Tools (RSAT) para su sistema operativo.
   Para activar el módulo, utilice el comando import-module ActiveDirectory desde un símbolo del sistema de PowerShell elevado.
2. Ejecute uno de los siguientes scripts de PowerShell, especificando el nombre de la cuenta de usuario de AD (samaccountname) que le interesa y la ruta para exportar.

Import-Module ActiveDirectory

$UserName = “Administrator“

$ReportPath = “C:\data\ADUserGroups.csv“

Get-ADPrincipalGroupMembershipwindows $Username | select name, groupcategory, groupscope | export-CSV C:\data\ADUserGroups.csv

• Get-ADPrincipalGroupMembership cmdlet recupera la membresía de grupo de Active Directory para el usuario especificado. Muestra información sobre cada grupo, incluyendo el nombre, la categoría (Seguridad o Distribución) y el alcance (Global, Universal o Local del Dominio). Este cmdlet busca directamente en la propiedad memberOf del grupo. El script anterior generará una salida como archivo CSV, utilizando el cmdlet export-CSV con el símbolo de tubería, y abrirá el archivo en MS Excel.

• El cmdlet Get-ADUser en Windows PowerShell puede recuperar información sobre los usuarios de Active Directory. Te permite consultar muchos atributos de los objetos de usuario almacenados en Active Directory. Este cmdlet también funciona para cualquier partición de AD o una instancia de AD LDS (Lightweight Directory Services). El script a continuación utiliza el parámetro -Properties y MemberOf como valores para obtener una lista de grupos en formato LDIF que contiene los nombres distinguidos de los grupos. Este método no es adecuado para informes ya que proporciona la salida en un formato de nombre distinguido por defecto:

Import-Module ActiveDirectory

$UserName = “Administrator“

$ReportPath = “C:\data\ADUserGroups.txt“

#-El parámetro Identity se puede utilizar, o solo se puede proporcionar el valor como $UserName

(Get-ADUser $UserName –Properties MemberOf | Select MemberOf).MemberOf |Out-File -FilePath $reportpath

Si el usuario de Windows que inició sesión no tiene los privilegios para ejecutar el script, necesita proporcionar las credenciales alternativas para ejecutar el script a través del parámetro -Credential, que proporciona la autenticación para PowerShell.

Aprenda más sobre Netwrix Auditor for Active Directory

Obtenga el informe de membresía de grupo de usuarios de AD sin tediosas manipulaciones de PowerShell

El principio de mínimo privilegio requiere que restrinja los derechos de acceso de los usuarios a los activos específicos que necesitan para realizar su trabajo diario. Al eliminar permisos innecesarios, refuerza la seguridad y reduce su superficie de ataque limitando el daño que se puede causar si un usuario decide abusar de sus derechos de acceso o si la cuenta es comprometida por atacantes o malware.

Para hacer cumplir esta mejor práctica con herramientas nativas, puedes revisar manualmente las propiedades de objetos de usuario en ADUC o obtener datos sobre la membresía de grupos de AD utilizando scripts de PowerShell para generar informes que detallen nombres específicos de grupos locales de dominio (como EnterpriseAdmins y Domain Administrators) y verificar manualmente a qué grupos pertenece una cuenta de usuario en particular. Sin embargo, ambas opciones consumen tu valioso tiempo. Además, revisar las listas de membresía de grupos de Active Directory puede ser engorroso, especialmente en entornos complejos debido al alto número de grupos de seguridad y grupos anidados. Encima de eso, si quieres filtrar tu informe o añadir más detalles, necesitarás más experiencia en scripting de PowerShell y en parámetros de cmdlet.

Con Netwrix Auditor for Active Directory, solo se necesitan unos pocos clics para obtener un informe comprensible enriquecido con todos los detalles que necesitas para verificar a qué grupos pertenece un usuario en particular. Puedes exportar fácilmente los resultados a formato CSV o PDF y enviarlos a los jefes de departamento para su revisión. Incluso puedes configurar suscripciones para ti y otros empleados que necesiten participar en revisiones periódicas de derechos; esas personas lo recibirán automáticamente en el horario que especifiques, sin esfuerzo adicional.