基于初始查询中的成员计数的 AD 组的 PowerShell 过滤(也就是不使用 -filter *)

Question

PowerShell 问题给精明的人。是否可以根据组大小过滤 Get-ADGroup 命令(也就是只返回大于 x 成员的组)？我正在尝试以比以下更有效的方式进行过滤:Get-ADGroup -Filter * 然后运行成员计数检查，如 |其中 {$_.members.count -gt 10,000} 或其他内容。

但我很难在初始过滤器 上进行任何类型的成员计数检查，因此我不必返回单个域中的每个组对象然后检查成员计数。这是因为我要查询的 AD 实例有大量的 AD 组，需要很长时间才能先拉出所有组，然后再检查。

我已经尝试了下面的变体，但我猜测初始的“成员”属性不存在于您可以查询的属性集中:

Get-ADGroup -Properties members -Filter {members -ge 10,000}

感谢任何帮助!

Answer 1

Is it possible to filter a Get-ADGroup command based on group size (aka only return groups greater than x members)?

不!

Active Directory 支持的 LDAP 查询过滤器语法没有任何用于指定多值属性计数的工具。

您需要在目录中查询具有任何 成员的组，然后在客户端计算结果集:

Get-ADGroup -LDAPFilter '(&(objectClass=group)(member=*))' -Properties member |Where-Object {
    $_.member.Count -gt 10000
}