使用 ADSI 检索本地组成员所需的权限

Question

使用 ADSI，我可以通过以下方式查询给定计算机上本地管理员组的成员（例如在 PowerShell 中）：

([ADSI]"WinNT://computer-name/Administrators,Group").Invoke("members")

要做到这一点，据我所知，运行 PowerShell 脚本的用户需要在目标机器上具有管理员权限——也就是说，用户需要直接在 computer-name 的本地管理员组中间接访问（例如. 通过成为“域管理员”的成员）。

这让我感到惊讶，因为可以登录 computer-name 的非管理员帐户（例如，属于“域用户”的用户）可以打开本地用户和组应用程序，并查看本地管理员组。手动执行时不需要特定权限，但 ADSI 似乎需要它。

所以我的问题是：

• 使用 ADSI 是否需要管理员权限才能访问此信息，或者我做错了什么？
• 是否有不同的方法来以编程方式获取此信息，它需要比管理员帐户更少的权限？ （如果有 PowerShell 中没有的解决方案也没关系，我的目标是 C#/.NET Core）

请注意，我想在其他工作站上远程运行它 - 而不仅仅是在本地工作站上。

Answer 1

ADSI 建立在 WMI 之上。默认情况下，只允许本地管理员组进行远程 WMI 调用和读取计算机本地目录数据。

您可以通过进入Computer Management (local) -> Services and Applications -> WMI Control 更改操作系统的权限。右键单击WMI Control 并选择Properties。

我只尝试过允许所有读取，您可以在root 文件夹中设置。我做了一些研究，您也许可以将其限制为仅 LDAP。在 Security 选项卡上向下钻取到 Root -> directory -> LDAP。您需要调整LDAP 条目（或者更多？）的权限。密钥权限为Remote Enable。

更新

直接从 PowerShell 查询 WMI。

通过 PowerShell 远程 WMI：https://docs.microsoft.com/en-us/windows/win32/wmisdk/connecting-to-wmi-on-a-remote-computer。

通过 WMI 列出远程组成员身份的自定义 PowerShell 方法：https://gallery.technet.microsoft.com/scriptcenter/List-local-group-members-c25dbcc4

Answer 2

我认为您的 ADSI 方法应该有效，至少在本地执行时是这样。

我使用了一个从这个 SO 答案中获取的 c# sn-p：https://stackoverflow.com/a/8192062/3374994。

为了测试它是否可以从普通用户权限运行，我使用了 Runas /user:regularuser GetLocalUsers.exe.

我相信这表明 ADSI 方法不一定需要提升权限。

但是，您是否打算远程运行代码？

var path = string.Format("WinNT://{0},computer", Environment.MachineName);

        using (var computerEntry = new DirectoryEntry(path))
        {
            var userNames = from DirectoryEntry childEntry in computerEntry.Children
                where childEntry.SchemaClassName == "User"
                select childEntry.Name;

            foreach (var name in userNames)
                Console.WriteLine(name);
        }