获取大型广告组的成员（5,000+）

在本指南中，我将向您展示如何使用 PowerShell 从大型 Active Directory 组中获取成员。

默认情况下，Get-ADGroupMember cmdlet 的成员限制为 5,000 名。如果该组的成员超过 5,000 名，您将收到以下错误。

“Get-ADGroupMember：超出了此请求的大小限制”。

大小限制错误的原因

Get-ADGroupMember 限制受到 Active Directory Web 服务的限制，其默认限制为 5,000 个对象。您可以修改配置文件来更改 5,000 个限制，但它确实需要重新启动 Active Directory Web 服务。下面我将向您展示一些不同的选项来解决大型团体的限制。

解决方案 1 - 使用 Get-ADGroup cmdlet

您可以使用 Get-ADGroup cmdlet 列出组成员，并且它没有 5,000 个对象的限制。

在下面的示例中，我获取了“all_users”组的成员。该群组拥有 7,000 多名成员。

Get-ADGroup "all_users" -Properties Member | select -ExpandProperty member

要获取组中成员的数量，请使用此命令。

((Get-ADGroup "all_users" -Properties Member).Member).Count

要获取组成员并包含用户属性，您需要将其通过管道传输到 get-aduser cmdlet。

(Get-ADGroup "all_users" -Properties Member).Member | Get-ADUser | select name, userprincipalname, enabled, givenname, surname

解决方案 2 - 使用 AD Pro 工具包

AD Pro 工具包可以轻松列出大型组的成员，并且没有大小限制。您可以在单个组、多个组或整个域上运行报告。

步骤 1. 打开工具包

AD Pro 工具包包括数百个 AD 报告和多种工具。您可以通过下载免费试用版来免费试用。

下载 14 天免费试用版

步骤 2. 单击“报告”>“群组成员报告”

单击“组成员”报告，单击“浏览”以选择一个 OU，或单击“搜索”以选择单个组。您还可以单击“运行”来运行整个域的报告。

您可以通过单击“列”并添加或删除所需的列来自定义报告。您还可以通过单击导出按钮导出报告。

解决方案 3 - 编辑 ADWS（Active Directory Web 服务）配置文件

步骤 1. 登录您的域控制器

步骤 2. 打开 Web 服务配置文件

使用记事本打开以下文件

C:\Windows\ADWS\Microsoft.ActiveDirectory.WebServices.exe.config

步骤 3. 复制以下文本。

<!--Specifies the maximum number of group members (recursive or non-recursive), group memberships, and authorization groups that can be retrieved by the Active Directory module Get-ADGroupMember, Get-ADPrincipalGroupMembership, and Get-ADAccountAuthorizationGroup cmdlets. Set this parameter to a higher value if you anticipate these cmdlets to return more than 5000 results in your environment.-->

<add key="MaxGroupOrMemberEntries" value="10000"/>

上述操作会将群组成员限制更改为 10,000 人。如果需要，您可以将其更改为更高的数字。

将文本粘贴到配置文件中。

保存文件并重置 Active Directory Web Services 服务。

您可以使用以下命令重新启动该服务。

Restart-Service -Name ADWS

步骤 4. 测试 Get-ADGroupMember cmdlet

您现在应该能够查询大于 5,000 个对象的组。您可以在下面看到 Get-ADGroupMember cmdlet 现在适用于大于 5,000 的组。

结论

在本文中，我向您展示了三种不同的解决方案来处理 Get-ADGroupMember 5,000 个对象的大小限制。您可以使用 Get-ADGroup cmdlet、修改 ADWS 配置文件中的 MaxGroupOrMemberEntries 参数或使用第 3 方工具（例如 AD Pro Toolkit）。修改 ADWS 配置文件的一个缺点是您需要重新启动 ADWS 服务。

您可能还想将 AD 组成员资格从一个用户复制到另一个用户。

AD清理工具
快速查找并清理过时的用户和计算机帐户

了解更多