powershell - "GetAuthorizationGroups"从 Active Directory 读取用户组时抛出异常

Question

我正在尝试通过 GetAuthorizationGroups 查找群组，它的工作原理是我可以返回一个 IEnumerable，但是当我尝试读取它们时，我返回的大多数项目都会抛出异常:

System.Runtime.InteropServices.COMException:
The specified directory service attribute or value does not exist.

如果你插入你自己的域、容器和用户名，你应该得到他们的组列表:

电源 shell :

[System.Reflection.Assembly]::LoadWithPartialName("System.DirectoryServices.AccountManagement")
[System.Reflection.Assembly]::LoadWithPartialName("System.DirectoryServices")
[System.Reflection.Assembly]::LoadWithPartialName("System.DirectoryServices.ActiveDirectory")

$username = "a-user-such-as-yourself"

$principalContext = new-object -TypeName System.DirectoryServices.AccountManagement.PrincipalContext "Domain", "yourADdomain.com", "OU=whatever,OU=andever,DC=yourADdomain,DC=com"

$principal = [System.DirectoryServices.AccountManagement.UserPrincipal]::FindByIdentity($principalContext, $username)

$groups = $principal.GetAuthorizationGroups()
Write-Output $groups

如果我忽略所有异常，它会成功返回“每个人”、“经过身份验证的用户”等组，但会在其他人身上引发异常。

如果我以域管理员身份运行它，它工作正常，返回所有组，没有任何异常。

所以我假设运行它的用户需要在 Active Directory 中获得某种权限。但哪一个？

Answer 1

我们出色的系统管理员通过恢复一些由于复杂原因在我们的 AD 中不存在的默认权限来实现这一点。我们缺少对 Authenticated Users 的读取权限关于标准 Users Active Directory 中的容器。