非域管理员是否可以仅使用 Powershell 来验证 AD 复制？

Question

假设没有安装任何管理工具，并且用户权限仅限于运行 Powershell 和标准用户访问 Active Directory。

• 在这种有限的情况下，用户是否可以验证 AD 复制？（repadmin 不可用）

• 理论上，Powershell 脚本需要检查与 GPO 处理和帐户复制相关的 AD 复制吗？

Answer 1

这实际上是不可能的，具体取决于您要实现的目标。即使安装了工具链，（默认）用户也缺少对几乎所有重要对象和 API 的读取访问权限。

用户可以验证他自己的对象的复制（更改密码、验证针对 DC 的凭据），但对复制协议、wmi dsquery（如果没有 RSAT 将会丢失）、完整的 \root\microsoftdfs 命名空间和所有必要的 rpc 端点的访问都会受到 ACL 的限制。