延迟运行Get-ADGroupMember

Question

谁能告诉我为什么下面的代码块在较大的组中运行这么慢？ 当我为有几个成员的组运行它时，它运行正常，但是，例如，当我有640个成员的组运行时，它有时运行成功，有时超时。 域控制器是“本地”的（即不是通过WAN链接）。 我已经在多台机器上进行了尝试，并获得了一些一致的（不希望的）结果。 Get-ADGroupMember是否应该为<1000个成员的组快速返回结果？ 我认为会的，但是我正在挠头。

Import-Module ActiveDirectory
$sw = [Diagnostics.Stopwatch]::StartNew()
Get-ADGroupMember -Identity cri-all_users | measure
$sw.Stop()
$sw.Elapsed

这是我的输出示例：

Count    : 641
Average  : 
Sum      : 
Maximum  : 
Minimum  : 
Property : 

Ticks             : 2268358861
Days              : 0
Hours             : 0
Milliseconds      : 835
Minutes           : 3
Seconds           : 46
TotalDays         : 0.00262541534837963
TotalHours        : 0.0630099683611111
TotalMilliseconds : 226835.8861
TotalMinutes      : 3.78059810166667
TotalSeconds      : 226.8358861

这是我的$ PSVERSIONTABLE

PS C:\Windows\System32\WindowsPowerShell\v1.0> echo $PSVERSIONTABLE

Name                           Value
----                           -----
PSVersion                      3.0
WSManStackVersion              3.0
SerializationVersion           1.1.0.1
CLRVersion                     4.0.30319.18051
BuildVersion                   6.2.9200.16628
PSCompatibleVersions           {1.0, 2.0, 3.0}
PSRemotingProtocolVersion      2.2

任何人都可以对此提供任何见解，我将不胜感激。 我已经尝试使用Process Explorer / Process Monitor在系统调用级别对此进行调试，并且（未成功地）附加了一个调试器，但是还没有走得太远。 非常感谢您的帮助和时间。

Answer 1

如果需要3分钟才能运行640个成员，则问题可能出在域控制器或cmdlet本身。 根据您的测量，我们的运行速度约为2.8个用户/秒，即使是一些最慢的DC也可以处理。 您可以通过在中等规模的组上运行它来证明这不是问题，并且如果您击败了2.8个用户/秒，那么问题就出在DC上。 如果您的CPU没有固定在100％，您也可以证明这一点。

我已经看到这个问题出现了，原因有几个，您可以研究一下：

• 当组在迭代时，它将尝试将SID解析为不存在的Active Directory对象。 我将检查您的Active Directory，以确保没有丢失或损坏的AD用户/组。
• 这也可能是由于无法解决的外交安全负责人
• 尽管可能不是这种情况，但是当您使用-Recurse参数调用Get-ADGroupMember时，遍历所有组可能要花费大量时间。

当您遍历较大的组（例如域用户）时，通常会出现这些问题，在这些较大的组中，SID破裂的可能性更大，这可能会引起问题。 每个损坏的SID都会导致Get-ADGroupMember cmdlet在尝试解析SID时暂停，等待10-30秒后再超时，然后继续。

解决方法是找到那些错误的SID。 解决方法是获取信息的不同方法，例如使用目录搜索器：

$searchRoot = New-Object System.DirectoryServices.DirectoryEntry
$adSearcher = New-Object System.DirectoryServices.DirectorySearcher
$adSearcher.SearchRoot = $searchRoot

$adSearcher.Filter = "(cn=groupName)"

$adSearcher.PropertiesToLoad.Add("member")
$samResult = $adSearcher.FindOne()

if($samResult)
 {
     $adAccount = $samResult.GetDirectoryEntry()
     $groupMembership = $adAccount.Properties["member"]
     $groupMembership | foreach { Write-Host $_ }
 }

Answer 2

我只是使用标准命令行开关来完成此操作，该命令行开关封装在一个函数中以使其递归。 比get-adgroupmember快得多，但不适用于“域用户”或其他主要组成员身份。

function getmember($dn){
    $obj=get-adobject $dn
    if ($obj.objectclass -eq "group"){
        $grp=$obj|get-adgroup -property member
        $grp.member| foreach{ getmember $_ }
    }else{
        $dn
    }
}


$dn=(get-adgroup "Participants").distinguishedname

measure-command {
    $m= getmember $dn
}

measure-command {
    get-adgroupmember $dn -recursive|foreach{$_.distinguishedname}
}