PowerShell 脚本使用 gMSA 和 Get-ADGroupMember

Question

我们有一个 PowerShell 脚本，它将枚举指定 AD 组的成员，然后将创建一个带有登录 ID 和名称的文本文件。 该脚本将在向经理创建 email 时通知他们管理应用程序/服务的 AD 组的成员身份。 我们遇到的问题是以下行：

Get-ADGroupMember -Identity $ADGroupName -Recursive |
    Get-ADUser -Properties * | Select-Object employeeID, name |
    Sort-Object name | Out-File -FilePath $Attachment

当用户运行脚本时，这将使用请求的信息正确创建文件。 问题是当我们尝试使用 gMSA 通过计划任务运行此脚本时。 在 gMSA 下运行它时，会创建一个零字节文件。 将文件创建行更改为：

Get-Service | Out-File -FilePath $Attachment

按预期创建文件，因此问题似乎是Get-ADGroupMember 。 可以像这样使用 gMSA 查询 AD 吗？

我们管理 MSA/gMSA 帐户的内部小组通知我们一切都应该正常工作。 我们的安全组更喜欢需要某种类型的用户上下文才能通过 MSA/gMSA 运行的所有内容，因为密码管理不是问题。

Answer 1

管理 gMSA/MSA 帐户的组通过将 gMSA 置于域用户组中“修复”了该问题。 看起来Get-ADUser和Get-ADgroup命令在 Domain Users 组中没有 gMSA 的情况下工作，但Get-ADGroupMenber需要它。