Laufwerkszuordnung in verschachtelten Gruppen

[Alith Anar 40]

Hallo,

 

Gibt es eine Möglichkeit während des Logons die Verschachtelung von Gruppen auszuwerten?

Hintergrund:

Bei uns werden diverse Laufwerke beim Logon des Benutzers gemappt.

 

Dies erfolgt mit einem VB Script
 

If MemberOf(ObjGroupDict, "Laufwerk-Allgemein") Then
    wshNetwork.MapNetworkDrive "g:", "\\Server01\Allgemein"
End If

 

Das funktioniert auch sehr gut, solange der Benutzer wirklich direkt Mitglied der Gruppe "Laufwerk-Allgemein" ist.
Ist er jedoch nur Mitglied der Gruppe sec-all-QMH die Mitglied der "Laufwerk-Allgemein" Gruppe ist, wird der Code oben nicht ausgeführt.

 

Danke

Thomas

bearbeitet 29. Oktober 2021 von Alith Anar
einen von vielen Typos korrigiert

[NilsK 3.046]

Moin,

 

Die Ausgabe von whoami /groups enthält alle Gruppen im Token des Users, nicht nur die direkten Mitgliedschaften.

 

Gruß, Nils

[cj_berlin 1.508]

vor 6 Stunden schrieb Alith Anar:

 

Gibt es eine Möglichkeit während des Logons die Verschachtelung von Gruppen auszuwerten?

Ja. Nicht die memberOF-Funktion in VBS benutzen

GPP, oder halt die Funktion erweitern, so dass sie Rekursion benutzt. Oder, wie @NilsK angedeutet hat, whoami und dann die Ausgabe nach der gewünschten Gruppe durchflöhen.

[NorbertFe 2.283]

vor 2 Minuten schrieb cj_berlin:

Nicht die memberOF-Funktion in VBS benutzen

Ich wartete jetzt auf "nicht VBS benutzen". ;)

[cj_berlin 1.508]

vor 1 Minute schrieb NorbertFe:

Ich wartete jetzt auf "nicht VBS benutzen". ;)

Kommt vielleicht noch. @BOfH_666 hat sich ja noch nicht geäußert.

[BOfH_666 586]

vor 3 Minuten schrieb cj_berlin:

Kommt vielleicht noch. @BOfH_666 hat sich ja noch nicht geäußert.

 

Pöh ...    ... wenn da VBS steht, halte ich mich raus. Wir haben 2021 - wer heute noch unbedingt mit VBS arbeiten möchte, ist selber schuld.  

[daabm 1.431]

Ich werf noch "TokenGroups" in den Raum - ein constructed Attribut, das alle rekursiven Gruppenmitgliedschaften enthält, wenn ich das grad noch richtig weiß.

 

[NilsK 3.046]

Moin,.

 

Aber warum das AD fragen, wenn die Information schon vollständig lokal vorliegt? TokenGroups ist interessant, wenn man die Daten für ein anderes bzw. beliebiges Konto abfragen will. Hier geht es aber um das eigene. 

 

Gruß, Nils

[cj_berlin 1.508]

vor 2 Stunden schrieb NilsK:

Aber warum das AD fragen, wenn die Information schon vollständig lokal vorliegt

Um nicht DOS-Befehle in Skripten aus anderen Sprachen verwenden und deren Ausgabe parsen zu müssen. Aber performance-technisch hast Du absolut recht.

Eigentlich müsste man mal schauen, welche API whoami aufruft, und einen Wrapper in PowerShell bzw. VBS basteln.

[NilsK 3.046]

Moin,

 

Naja, "DOS-Befehle" trifft ja nun nicht zu. whoami.exe ist ein Dienstprogramm wie viele andere auch. Solange es keinen Grund gibt, etwas in Powershell neu zu implementieren, was es bereits gibt, bin ich immer sehr dafür, das Vorhandene zu verwenden.

 

Gruß, Nils

[cj_berlin 1.508]

Moin,

etwas, was unformatierten Text, der auch noch Locale-spezifisch ist, auf den stdout ausspuckt, ist für mich ein DOS-Befehl. Es steht nirgends geschrieben, dass "Befehle" ausschließlich als Teil der cmd.exe implementiert sein müssen, es geht also eher um die Art der Eingabe und Ausgabe - UND darum, ob ein neuer Prozess gestartet werden muss, um das gewünschte Ergebnis zu erreichen. Für einen gelegentlichen beaufsichtigten Aufruf durch den Operator mag das Prinzip "lieber sich ums Bewährte verrenken als das Neue debuggen zu müssen" durchaus ökonomisch sinnvoll sein. Wenn man aber Tools baut, die jahrelang unbeaufsichtigt, zum Teil in vorher unbekannten Umgebungen, laufen sollen, sieht die Ökonomie bisweilen anders aus.

[daabm 1.431]

@cj_berlin whoami /groups /fo csv

[BOfH_666 586]

vor einer Stunde schrieb daabm:

@cj_berlin whoami /groups /fo csv

 

Was dann im einfachsten Fall für PowerShell ungefähr so anfangen würde .... 

 

whoami /groups /fo csv  | ConvertFrom-Csv -Delimiter ','

 

[cj_berlin 1.508]

Mein Problem ist doch nicht, *wie* man genügend PowerShell oder VBS um einen DOS-Befehl strickt, damit es tut, sondern *dass* man es machen muss, um etwas zu erreichen, das evtl. mit einem API-Aufruf bessere (z.B. von der Systemsprache unabhängige) Ergebnisse liefert.

 

Und in dieser unseren Zeit ist das Ereignis "powershell.exe spawned a child process" etwas, was regelmäßig für Gesprächsbedarf sorgt.

[NilsK 3.046]

Moin,

 

Mag ja sein, aber behalten wir doch mal in Auge, worum es in diesem Thread geht. 

 

Du kannst auch gern eine Lösung posten, die nur mit Powershell arbeitet ...

 

Gruß, Nils