管理原始目录搜索者数据

最近，我和我的朋友格拉迪斯聊天。作为工作的一部分，她经常为同事创建与 Active Directory PowerShell 相关的工具。成为工具制造者总是好的！无论如何，她不想依赖远程服务器管理工具 (RSAT) 中的 Active Directory 模块。无法保证该功能可以安装在同事的桌面上，并且对于某些需要完成的任务来说，这是大材小用。

相反，Gladys 经常使用 [System.DirectoryServices] 命名空间构建 PowerShell 工具来管理 Active Directory 的各个部分。这些 .NET 类已经存在很长时间了，并且是我们在 Microsoft 发布 Active Directory 模块之前使用的类。这些类应该可以在您的计算机上找到，并且不依赖于 Active Directory 模块。 DirectorySearcher 是首选课程之一。

$Searcher = New-Object System.DirectoryServices.DirectorySearcher

Gladys 的公司广泛使用托管服务帐户，她正在 Active Directory 中搜索它们。在我的演示域中，我只有一个。

$searcher.filter = "(&(objectClass=msDS-GroupManagedServiceAccount))"
$gmsa = $Searcher.FindOne()

生成的对象与您可能熟悉的对象略有不同。这些属性存储为 ResultPropertyCollection 对象。

每个属性值都存储为一个集合，因此从技术上讲，您应该使用索引号来获取该值，即使只有一个项目。

Gladys 想要使用的属性是 msds-groupmsamembership，但当她获得值时，这是一个巨大的数字集合。事实证明，结果属性是一个字节数组。字节代表一个值。 Gladys 可以使用 Active Directory 模块查看该值应该是什么。

这看起来像一个安全对象。使用 Get-Member 查看该属性证实了这一点。

请记住，Gladys 试图避免使用 Active Directory 模块。她需要获取字节数组并将其转换为 ActiveDirectorySecurity 对象。

在 Gladys 的研究过程中，她遇到了讨论如何将字节数组转换为更有意义的内容的文章。但所有文章都是面向开发人员的并且依赖于 COM 对象。我看了这些文章，在用头撞了桌子一会儿并在 PowerShell 中尝试了一些东西之后，我终于对如何解决这个问题有了心理上的联系。

寻找建设者

我知道我需要一个 [System.DirectoryServices.ActiveDirectorySecurity] 对象。所以我检查了一下是否有构造函数。也就是说，创建对象的新实例的方法。确实如此。

这看起来很容易。我希望有一种方法可以使用我保存到变量中的字节。

[byte[]]$raw = $gmsa.Properties.'msds-groupmsamembership'[0]

但也许新的 ActiveDirectorySecurityObject 会提供线索，所以我将创建一个。

$adsec = [System.DirectoryServices.ActiveDirectorySecurity]::new()

这就是为什么您需要知道如何使用 Get-Member。我通过管道 $adsec 到 Get-Member，寻找可以给我如何使用字节数组的提示的东西。我找到了一个设置方法。

我已经知道我需要创建某种形式的安全描述符，并且此方法采用字节数组作为参数。

$adsec.SetSecurityDescriptorBinaryForm($raw)

我没有得到结果，这并不奇怪，因为 Get-Member 表明此方法不返回任何内容。这就是“空”所表示的意思。有什么事情发生吗？

成功！我可以将其传递给 Get-Member 以查看可以使用哪些属性或方法。或者通过管道将其传递给 Select-Object。

Gladys 可以在她的 PowerShell 脚本中使用此对象。

解码SID

但您知道，目录搜索器结果中还有一些属性可能需要转换。如果没有其他原因，只是为了强化我的流程。对象的 SID 也表示为字节数组。

[byte[]]$rawsid = $gmsa.properties.objectsid[0]

我需要创建什么类型的对象？

我已经知道房产名称了。您可能需要选择所有属性以通过管道传递给 Get-Member 并缩小列表范围。

有哪些类型的构造函数选项可用？

这看起来很有希望！

$sid = [System.Security.Principal.SecurityIdentifier]::new($rawsid,0)

更好的。但并不理想。通过管道 $sid 到 Get-Member 寻求指导，我找到了 Translate() 方法。我从以前的经验知道如何使用该方法。如果没有，您可能需要做一些研究才能学习如何使用它。

这正是我所期望的，因为我已经知道帐户名。

对象GUID

请记住，我们在这里关注的是一个过程。让我们再尝试一个属性并查看对象 GUID，它也存储为字节数组。

[byte[]]$rawguid = $gmsa.properties.objectguid[0]

我知道这必须是一个 [System.Guid] 对象。

这看起来很容易。

编写简单的 PowerShell 函数来进行这些转换并不是那么困难。

概括

我意识到您可能不需要使用 DirectorySearcher，但您可能会发现自己处于需要翻译或转换的未知数据的情况。您可以从我在这里演示的过程开始。如果不出意外，我希望这已经向您展示了了解如何使用 Get-Member 的重要性。

欢迎提出意见和问题。