Active Directory - 用於查找不在一組組中的所有用戶的腳本？

Question

我有一組10個AD組。 我想要的是以編程方式找出AD域中的哪些用戶不是這10個組的成員。 只有一個域名。 我知道在vbscript中執行ADO SQL查詢是可能的，但我想知道（希望，祈禱）是否有人有一個罐裝腳本？

我想一個hacky方式可能是：

1. 轉儲10個組中的所有用戶
2. 轉儲域中的所有用戶
3. 在2個轉儲上運行windiff

有任何想法嗎？

Answer 1

對於任何有興趣的人，這有效：

(&(objectCategory=Person)
    (&
        (!memberOf=CN=group1,dc=company,dc=local)
        (!memberOf=CN=group2,dc=company,dc=local)
        (!memberOf=CN=group3,dc=company,dc=local)
    )
)

Answer 2

System.DirectoryServices提供編寫LDAP查詢的功能。 像這樣：（＆（objectclass = User）（！memberof = cn = group1，...）（！memberof = cn = group2，...）（！memberof = cn = group3，...））

我相信，每個條件成員都必須明確說明。

我只是快速回答，所以我沒有100％的代碼向您展示。