Get-ADUser: PowerShell से Active Directory उपयोगकर्ता जानकारी प्राप्त करें

Get-ADUser PowerShell कमांडलेट आपको Active Directory उपयोगकर्ता, उसके गुणों के बारे में जानकारी प्राप्त करने और डोमेन उपयोगकर्ताओं में खोज करने की अनुमति देता है। यह AD से जानकारी प्राप्त करने के लिए सबसे लोकप्रिय PowerShell कमांडलेट्स में से एक है। Get-ADUser का उपयोग करके आप AD उपयोगकर्ता खाते के किसी भी गुण का मान प्राप्त कर सकते हैं, गुणों के साथ डोमेन उपयोगकर्ताओं की सूची बना सकते हैं, उपयोगकर्ता रिपोर्ट को CSV फ़ाइलों में निर्यात कर सकते हैं, और डोमेन उपयोगकर्ताओं को चुनने और फ़िल्टर करने के लिए विभिन्न मानदंडों का उपयोग कर सकते हैं।

Active Directory PowerShell मॉड्यूल में Get-ADUser कमांडलेट

Get-ADUser कमांडलेट Active Directory के साथ इंटरैक्ट करने के लिए एक विशेष मॉड्यूल - Active Directory Module for Windows PowerShell में शामिल है। RSAT-AD-PowerShell मॉड्यूल कमांडलेट्स आपको AD ऑब्जेक्ट्स पर विभिन्न ऑपरेशन करने में सक्षम बनाते हैं।

नोट: पहले, AD उपयोगकर्ता खातों के गुणों के बारे में जानकारी प्राप्त करने के लिए, आपको विभिन्न टूल्स का उपयोग करना पड़ता था: ADUC कंसोल (सेव्ड AD क्वेरीज़ सहित), VBS स्क्रिप्ट्स, dsquery, आदि। इन सभी टूल्स को Get-ADUser कमांडलेट द्वारा आसानी से बदला जा सकता है।

इस उदाहरण में, हम दिखाएंगे कि PowerShell Get-ADUser कमांडलेट का उपयोग करके उपयोगकर्ता के पासवर्ड को अंतिम बार कब बदला गया था, पासवर्ड कब समाप्त होता है, और अन्य उपयोगकर्ता गुणों की जानकारी कैसे प्राप्त करें।

RSAT-AD-PowerShell मॉड्यूल स्थापित करना और आयात करना

RSAT-AD-PowerShell मॉड्यूल का उपयोग करने के लिए, आपको उन्नत PowerShell कंसोल चलाने और निम्न कमांड के साथ मॉड्यूल आयात करने की आवश्यकता है:

Import-Module ActiveDirectory

RSAT-AD-PowerShell मॉड्यूल Windows Server 2012 (और नए) पर डिफ़ॉल्ट रूप से स्थापित होता है जब आप Active Directory Domain Services (AD DS) भूमिका तैनात करते हैं। डोमेन सदस्य Windows Server होस्ट पर मॉड्यूल स्थापित करने के लिए, कमांड चलाएं:

Install-WindowsFeature -Name "RSAT-AD-PowerShell" –IncludeAllSubFeature

डेस्कटॉप Windows 10/11 पर Get-ADUser कमांडलेट का उपयोग करने के लिए, आपको RSAT का उपयुक्त संस्करण स्थापित करना होगा। आप RSAT को सेटिंग्स -> ऐप्स -> वैकल्पिक सुविधाएँ -> एक सुविधा जोड़ें -> RSAT: Active Directory Domain Services and Lightweight Directory Services Tools के माध्यम से सक्षम कर सकते हैं।

PowerShell के साथ Windows 10 और 11 पर RSAT AD मॉड्यूल स्थापित करें:

Add-WindowsCapability –online –Name "Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0"

यदि RSAT-AD-PowerShell मॉड्यूल कंप्यूटर पर स्थापित नहीं है, तो Get-ADUser कमांड चलाने पर एक त्रुटि दिखाई देगी:

Get-ADUser: The term 'get-aduser' is not recognized as the name of a cmdlet, function, script file, or operable program.

जांचें कि मॉड्यूल स्थापित है, और यदि आवश्यक हो, तो इसे अपने PowerShell सत्र में आयात करें:

Import-Module ActiveDirectory

RSAT को अपने कंप्यूटर पर स्थापित किए बिना AD-PowerShell मॉड्यूल का उपयोग करने का एक तरीका भी है। मुख्य मॉड्यूल फ़ाइलों को कॉपी करना और मॉड्यूल को PowerShell सत्र में आयात करना पर्याप्त है:

Import-Module "C:\PS\AD\Microsoft.ActiveDirectory.Management.dll"
Import-Module "C:\PS\AD\Microsoft.ActiveDirectory.Management.resources.dll"

Get-ADUser कमांडलेट के सभी तर्कों की पूरी सूची निम्न प्रकार से प्राप्त की जा सकती है:

help Get-ADUser

Get-ADUser से AD उपयोगकर्ता ढूंढें और गुण सूचीबद्ध करें

Get-ADUser कमांडलेट का उपयोग करने के लिए, आपको इसे डोमेन व्यवस्थापक या प्रतिनिधि अनुमतियों वाले खाते के तहत चलाने की आवश्यकता नहीं है। कोई भी अधिकृत AD डोमेन उपयोगकर्ता अधिकांश AD ऑब्जेक्ट गुणों के मान प्राप्त करने के लिए PowerShell कमांड चला सकता है (गोपनीय वाले को छोड़कर, उदाहरण के लिए Local Administrator Password Solution - LAPS लेख देखें)। यदि आपको Get-ADUser कमांड को किसी अन्य खाते के तहत चलाने की आवश्यकता है, तो -Credential पैरामीटर का उपयोग करें।

सभी डोमेन उपयोगकर्ता खातों की सूची प्रदर्शित करने के लिए, यह कमांड चलाएं:

Get-ADUser -filter *

महत्वपूर्ण: बड़ी संख्या में उपयोगकर्ता खातों वाले Active Directory डोमेन में इस कमांड को चलाने की अनुशंसा नहीं की जाती है। यह AD जानकारी प्रदान करने वाले डोमेन कंट्रोलर पर भारी भार डाल सकता है।

किसी विशिष्ट उपयोगकर्ता के गुणों को प्रदर्शित करने के लिए, –Identity पैरामीटर का उपयोग करें। पहचान उपयोगकर्ता नाम, लॉगिन (SAMAccountName), DN (Distinguished Name), SID, या GUID हो सकती है।

निम्न PowerShell कमांड एक ही AD उपयोगकर्ता खाते के लिए समान परिणाम देंगे:

Get-ADUser –Identity b.smith
Get-ADUser –Identity "CN=Brian Smith,OU=Users,OU=Berlin,DC=woshub,DC=loc"
Get-ADUser –Identity "Brian Smith"

डिफ़ॉल्ट रूप से, Get-ADUser कमांडलेट केवल 10 बुनियादी उपयोगकर्ता गुण लौटाता है (120 से अधिक उपयोगकर्ता खाता गुणों में से): DistinguishedName, SamAccountName, Name, SID, UserPrincipalName, ObjectClass, खाता स्थिति (Enabled: True/False UserAccountControl AD गुण के अनुसार), आदि। इस मामले में, कमांडलेट के आउटपुट में उपयोगकर्ता के पासवर्ड को अंतिम बार बदलने के समय के बारे में जानकारी नहीं होती है।

किसी विशिष्ट डोमेन कंट्रोलर पर AD क्वेरी निष्पादित करने के लिए, -Server विकल्प का उपयोग करें:

Get-ADUser –Server DC01.woshub.com –Identity tstuser

यदि आपको किसी अन्य AD डोमेन से उपयोगकर्ता डेटा प्राप्त करने की आवश्यकता है, तो आपको डोमेन कंट्रोलर का नाम और उस तक पहुंचने के लिए क्रेडेंशियल्स निर्दिष्ट करने होंगे:

$ADcred = Get-Credential
Get-ADUSer tstuser -Server DC01.contoso.com -Credential $ADcred

सभी उपलब्ध उपयोगकर्ता गुण प्रदर्शित करना

सभी उपलब्ध उपयोगकर्ता गुणों के बारे में विस्तृत जानकारी प्रदर्शित करने के लिए, यह कमांड चलाएं:

Get-ADUser -identity tuser -properties *

Properties * स्विच के साथ Get-ADUser कमांडलेट AD उपयोगकर्ता के सभी गुणों और उनके मानों (खाली वाले सहित) को सूचीबद्ध करता है। उपयोगकर्ता गुणों की एक समान सूची Active Directory Users and Computers ग्राफिकल स्नैप-इन (dsa.msc) में विशेषता संपादक टैब के तहत उपलब्ध है।

आउटपुट स्वरूपण और चयनित गुण प्रदर्शित करना

अब हम Get-ADUser आउटपुट के स्वरूपण पर जाएंगे ताकि आवश्यक उपयोगकर्ता गुण प्रदर्शित हों। उदाहरण के लिए, आप निम्न उपयोगकर्ता गुणों के मान प्रदर्शित करना चाहते हैं:

• PasswordExpired
• PasswordLastSet
• PasswordNeverExpires
• LastLogonTimestamp

कमांड चलाएं:

Get-ADUser tuser -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires, lastlogontimestamp

अब उपयोगकर्ता डेटा में खाता पासवर्ड स्थिति (Expired: True/False), अंतिम पासवर्ड परिवर्तन की तारीख, और डोमेन में उपयोगकर्ता के अंतिम लॉगऑन का समय (lastlogontimestamp गुण) के बारे में जानकारी है। इस जानकारी को अधिक सुविधाजनक तालिका दृश्य में प्रदर्शित करने और सभी अनावश्यक गुणों को हटाने के लिए Select-Object –Property और Format-Table का उपयोग करें:

Get-ADUser -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires | ft Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires

Get-ADUser -SearchBase: विशिष्ट OU से उपयोगकर्ता प्राप्त करना

केवल किसी विशिष्ट डोमेन कंटेनर (Organizational Unit) के उपयोगकर्ताओं को प्रदर्शित करने के लिए, –SearchBase पैरामीटर का उपयोग करें:

Get-ADUser -SearchBase 'OU=London,DC=woshub,DC=loc' -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires | ft Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires

यदि आपको एक साथ कई OU से उपयोगकर्ताओं का चयन करने की आवश्यकता है, तो निम्न PowerShell स्क्रिप्ट का उपयोग करें:

$OUs = "OU=NY,DC=woshub,DC=com","OU=LA,DC=woshub,DC=com","OU=MA,DC=woshub,DC=com"
$OUs | foreach {Get-ADUser -SearchBase $_ -Filter * |select Name, Enabled}

PowerShell का उपयोग करके AD से उपयोगकर्ता का ईमेल पता कैसे प्राप्त करें?

उपयोगकर्ता ईमेल पता Active Directory में उपयोगकर्ता ऑब्जेक्ट के गुणों में से एक है। उपयोगकर्ताओं के ईमेल पते सूचीबद्ध करने के लिए, आपको Get-ADUser कमांडलेट के गुणों में EmailAddress फ़ील्ड जोड़ना होगा।

Get-ADUser -filter * -properties EmailAddress -SearchBase 'OU=Paris,OU-Fr,DC=woshub,DC=com'| select-object Name, EmailAddress

ईमेल पतों के साथ सक्षम उपयोगकर्ता खातों की सूची:

Get-ADUser -Filter {(mail -ne "null") -and (Enabled -eq "true")} -Properties Surname,GivenName,mail | Select-Object Name,Surname,GivenName,mail | Format-Table

ईमेल पते के बिना Active Directory उपयोगकर्ताओं की सूची प्राप्त करने के लिए:

Get-ADUser -Filter * -Properties EmailAddress | where -Property EmailAddress -eq $null

निम्न उदाहरण आपको कंपनी ईमेल सूची को AD से CSV फ़ाइल में निर्यात करने की अनुमति देता है। बाद में, आप इस CSV पता सूची को Outlook या Mozilla Thunderbird जैसे डेस्कटॉप ईमेल क्लाइंट में आयात कर सकते हैं:

Get-ADUser -Filter {(mail -ne "null") -and (Enabled -eq "true")} -Properties Surname,GivenName,mail | Select-Object Name,Surname,GivenName,mail | Export-Csv -NoTypeInformation -Encoding utf8 -delimiter "," $env:temp\adress_list.csv

Get-ADUser: PowerShell के साथ Active Directory उपयोगकर्ताओं को CSV में निर्यात करना

गुणों के साथ डोमेन उपयोगकर्ताओं की परिणामी सूची को टेक्स्ट फ़ाइल में निर्यात किया जा सकता है:

Get-ADUser -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires | ft Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires > C:\temp\users.txt

या आप AD उपयोगकर्ताओं की सूची को CSV फ़ाइल में निर्यात कर सकते हैं:

Get-ADUser -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires | where {$_.name –like "*Dmitry*"} | sort-object PasswordLastSet | select-object Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires | Export-csv -path c:\tmp\user-passwords-expires.csv -Append -Encoding UTF8

AD उपयोगकर्ता सूची को PowerShell का उपयोग करके सीधे Excel फ़ाइल में निर्यात किया जा सकता है।

Get-ADUser फ़िल्टर उदाहरण

–Filter स्विच का उपयोग करके, आप एक या अधिक गुणों द्वारा उपयोगकर्ता खातों की सूची को फ़िल्टर कर सकते हैं। यह उन AD उपयोगकर्ताओं को खोजने के लिए उपयोगी है जिनके गुण निर्दिष्ट मानदंडों से मेल खाते हैं। Active Directory उपयोगकर्ताओं के विशिष्ट गुणों के मानों को इस पैरामीटर के तर्क के रूप में निर्दिष्ट किया जा सकता है। जब आप –Filter पैरामीटर का उपयोग करते हैं, तो Get-ADUser कमांडलेट केवल उन उपयोगकर्ताओं को प्रदर्शित करेगा जो फ़िल्टर मानदंडों से मेल खाते हैं।

उदाहरण के लिए, मैं सक्रिय (Enabled) उपयोगकर्ता खातों को सूचीबद्ध करना चाहता हूं जिनके नाम में "Dmitry" है। नीचे दिए गए उदाहरण में कई फ़िल्टर का उपयोग किया गया है; आप तार्किक PowerShell तुलना ऑपरेटर्स का उपयोग करके शर्तों को जोड़ सकते हैं। इस उदाहरण में, उपयोगकर्ता गुणों को दोनों फ़िल्टर शर्तों को पूरा करना होगा (-and):

Get-AdUser -Filter "(Name -like '*Dmitry*') -and (Enabled -eq 'True')" -Properties * |select name,enabled

उपयोगकर्ता गुणों के मानों का चयन करने के लिए सभी PowerShell तार्किक ऑपरेटर्स का उपयोग किया जा सकता है (-eq, -ne, -gt, -ge, -lt, -le, -like, -notlike, -and, -or, आदि।)

इसके अलावा, आप Sort-Object कमांडलेट का उपयोग करके परिणामी उपयोगकर्ता सूची को किसी विशिष्ट उपयोगकर्ता गुण द्वारा क्रमबद्ध कर सकते हैं। आप एक साथ कई फ़िल्टरिंग मानदंड निर्दिष्ट करने के लिए Where-Object कमांडलेट का भी उपयोग कर सकते हैं।

Get-ADUser -filter * -properties PasswordExpired, PasswordLastSet, PasswordNeverExpires -SearchBase 'OU=NY,DC=woshub,DC=com'| where {$_.name –like "*Dmitry*" -and $_.Enabled -eq $true} | sort-object PasswordLastSet | select-object Name, PasswordExpired, PasswordLastSet, PasswordNeverExpires

इस प्रकार, आप किसी भी आवश्यक Active Directory गुणों के साथ उपयोगकर्ताओं की सूची प्राप्त कर सकते हैं।

एक साथ कई गुणों (legacyExchangeDN, proxyAddresses, SAMAccountName, Surname, DisplayName, SamAccountName, physicalDeliveryOfficeName, RDN, और msExchMailNickname) द्वारा उपयोगकर्ताओं को खोजने के लिए, आप Ambiguous Name Resolution (ANR) सुविधा का उपयोग कर सकते हैं:

Get-ADUser -Filter {anr -eq 'John'} | select Name

संकेत: प्रदर्शन के दृष्टिकोण से, Get-ADUser का उपयोग करके Active Directory उपयोगकर्ताओं को खोजते समय, पाइपलाइन के माध्यम से Where-Object कमांडलेट का उपयोग करने के बजाय Filter गुण का उपयोग करके मानदंड निर्दिष्ट करना बेहतर है। इस मामले में, चयन परिणामों की फ़िल्टरिंग डोमेन कंट्रोलर पर की जाएगी, और नेटवर्क पर आपके कंप्यूटर पर डेटा का एक छोटा सेट स्थानांतरित किया जाएगा।

आप Get-ADUser क्वेरीज़ में LDAP फ़िल्टर का उपयोग कर सकते हैं। LDAP फ़िल्टर को –LdapFilter विशेषता का उपयोग करके निर्दिष्ट किया जाता है।

Get-ADUser -LDAPFilter '(&(department=it)(title=sysops))'

PowerShell Get-ADUser उदाहरण

आइए Active Directory उपयोगकर्ताओं को विभिन्न फ़िल्टर्स के साथ क्वेरी करने के लिए कुछ और उपयोगी PowerShell कमांड उदाहरण दिखाते हैं। आप आवश्यक AD उपयोगकर्ता ऑब्जेक्ट्स की सूची प्राप्त करने के लिए उन्हें जोड़ सकते हैं:

• उन AD उपयोगकर्ताओं को प्रदर्शित करें जिनका नाम Joe से शुरू होता है:

  Get-ADUser -filter {name -like "Joe*"}

• PowerShell का उपयोग करके Active Directory में उपयोगकर्ता खातों की कुल संख्या की गणना करें:

  Get-ADUser -Filter {SamAccountName -like "*"} | Measure-Object

• अक्षम Active Directory उपयोगकर्ता खाते खोजें:

  Get-ADUser -Filter {Enabled -eq "False"} | Select-Object SamAccountName,Name,Surname,GivenName | Format-Table

• Active Directory उपयोगकर्ता खाता निर्माण तिथि जांचें:

  get-aduser -Filter * -Properties Name, WhenCreated | Select name, whenCreated

• पिछले 24 घंटों में बनाए गए नए जोड़े गए Active Directory उपयोगकर्ताओं की सूची प्राप्त करें:

  $lastday = ((Get-Date).AddDays(-1))
  Get-ADUser -filter {(whencreated -ge $lastday)}

• समाप्त हो चुके पासवर्ड वाले खातों को सूचीबद्ध करें (आप डोमेन पासवर्ड नीति में पासवर्ड समाप्ति विकल्प कॉन्फ़िगर कर सकते हैं):

  Get-ADUser -filter {Enabled -eq $True} -properties name,passwordExpired| where {$_.PasswordExpired}|select name,passwordexpired

• आप Get-ADUser और Add-ADGroupMember कमांडलेट्स का उपयोग करके डायनामिक AD उपयोगकर्ता समूह बना सकते हैं (शहर, नौकरी शीर्षक, विभाग, आदि के आधार पर)।
• कार्य: उपयोगकर्ता खातों की सूची के लिए जो एक टेक्स्ट फ़ाइल में संग्रहीत है (प्रति पंक्ति एक खाता), आपको AD से उपयोगकर्ता का कंपनी नाम प्राप्त करना होगा और इसे CSV फ़ाइल में सहेजना होगा (आप इस फ़ाइल को आसानी से Excel में आयात कर सकते हैं)।

  Import-Csv c:\ps\users_list.csv | ForEach {
  Get-ADUser -identity $_.user -Properties Name, Company |
  Select Name, Company |
  Export-CSV c:\ps\users_ad_list.csv -Append -Encoding UTF8
  }

• जिन उपयोगकर्ताओं ने पिछले 90 दिनों में अपने डोमेन पासवर्ड नहीं बदले हैं:

  $90_Days = (Get-Date).adddays(-90)
  Get-ADUser -filter {(passwordlastset -le $90_days)}

• निष्क्रिय उपयोगकर्ता खाते ढूंढें (180 दिनों से अधिक समय तक डोमेन पर लॉग ऑन नहीं किया)। उपयोगकर्ता के डोमेन पर लॉगऑन इतिहास प्राप्त करने के लिए lastLogonTimestamp गुण का उपयोग किया जाता है:

  $LastLogonDate= (Get-Date).AddDays(-180)
  Get-ADUser -Properties LastLogonTimeStamp -Filter {LastLogonTimeStamp -lt $LastLogonDate } | ?{$_.Enabled –eq $True} | Sort LastLogonTimeStamp| FT Name, @{N='lastlogontimestamp'; E={[DateTime]::FromFileTime($_.lastlogontimestamp)}} -AutoSize

• Active Directory से उपयोगकर्ता की फोटो प्राप्त करें और इसे jpg फ़ाइल में सहेजें:

  $usr = Get-ADUser sjoe -Properties thumbnailPhoto
  $usr.thumbnailPhoto | Set-Content sjoe.jpg -Encoding byte

• उन AD समूहों की सूची प्राप्त करें जिनका उपयोगकर्ता खाता सदस्य है:

  Get-AdUser sjoe -Properties memberof | Select memberof -expandproperty memberof

• OU के उन उपयोगकर्ताओं को सूचीबद्ध करें जो किसी विशिष्ट डोमेन सुरक्षा समूह के सदस्य हैं:

  Get-ADUser -SearchBase 'OU=Rome,OU=Italy,DC=woshub,DC=com' -Filter * -properties memberof | Where-Object {($_.memberof -like "*CEO*")}

• OU के सभी उपयोगकर्ताओं को सूचीबद्ध करें, किसी विशिष्ट समूह के सदस्यों को छोड़कर:

  $Users = Get-ADUser -filter * -SearchBase ‘OU=Berlin,DC=woshub,DC=com’ -properties memberOf
  ForEach ($User In $Users)
  {
  $Groups = -join @($User.memberOf)
  If ($Groups -notlike '*Domain Admins*')
  {
  $User.Name
  }
  }

• Out-GridView तालिका में संगठनात्मक इकाई नाम के साथ AD उपयोगकर्ताओं की सूची निर्यात करना:

  get-aduser -filter * -Properties cn,canonicalname | select name,userprincipalname,@{Name="OU";expression={$_.Canonicalname.substring(0,$_.canonicalname.length-$_.cn.length)}}| Out-GridView

• जांचें कि AD उपयोगकर्ता खाता मौजूद है या नहीं:

  $SamAccountName='jbrown'
  if (@(Get-ADUser -Filter { SamAccountName -eq $SamAccountName }).Count -eq 0)
  { Write-Host "User $SamAccountName doesn’t exist"}

• वे डोमेन कंप्यूटर सूचीबद्ध करें जिन पर उपयोगकर्ता को साइन इन करने की अनुमति है (LogonWorkstations AD गुण के माध्यम से लॉगऑन प्रतिबंध)।

  Get-ADUser jbrown -Properties LogonWorkstations | Format-List Name, LogonWorkstations

सुझाव: Get-ADComputer कमांडलेट का उपयोग कंप्यूटर गुण प्राप्त करने या Active Directory से कई कंप्यूटर खोजने के लिए किया जाता है।