Active Directory：如何回答“该用户是否属于该组（直接或间接）”

Question

有多种方法可以列出属于某个组的所有用户和组（或者通过 GUI），或者反过来列出组或用户所属的所有组...

但是，我希望知道某个组 ( My Group) 是否直接或间接地包含某个特定用户 ( jsmith)，例如

• 是，jsmith是其成员之一My Group或者是其成员之一（递归）；或
• 否，jsmith不是其成员My Group或其任何成员（递归）。

我不需要列举该组的所有可能的用户（除非这是最有效的方法）。

如果它表明了会员资格产生的层次结构，那将是一个加分项，例如

• My Group包含Some Other Group、包含Some Team Group、包含jsmith；或

• My Group包含Poorly Maintained Group，包含Domain Users，包含jsmith。

回答这两个问题的最佳方式是什么？

Answer 1

Active Directory“tokenGroups”中有一个计算属性，它返回用户所属的所有组的 SID。