Die Fähigkeit, aktuelle Benutzerlisten und -gruppen zu verwalten und zu pflegen, ist entscheidend für die Sicherheit eines Unternehmens.
Verwendung der GUI
Es gibt eine Reihe verschiedener Möglichkeiten, um festzustellen, zu welchen Gruppen ein Benutzer gehört. Einerseits können Sie den Ansatz über das GUI wählen:
- Rufen Sie „Active Directory Users and Computers“ auf.
- Klicken Sie „Users“ oder auf den Ordner, der das Benutzerkonto enthält.
- Klicken Sie mit der rechten Maustaste auf das Benutzerkonto und klicken Sie dann auf „Properties“.
- Klicken Sie auf die Registerkarte „Member“.
Verwendung der Befehlszeile
Aber das Herumklicken ist etwas nervig, nicht wahr? Wie wäre es mit einigen Möglichkeiten für die Befehlszeile?
- Öffnen Sie eine Befehlseingabe (cmd.exe oder PowerShell)
- Führen Sie
gpresult /V
aus.
Ihnen wird dann ein Ergebnis wie das folgende angezeigt (ich habe es beschnitten, so dass es nur die Gruppeninformationen enthält):

Durch Ausführen von whoami /groups
würden Sie ähnliche Informationen erhalten. Der Befehl listet auch Verteilergruppen und Verschachtelungen auf (z. B. wird, wenn Sie zu Gruppe A gehören, die ihrerseits ein Mitglied von Gruppe B ist, Gruppe B angezeigt).
Noch nicht zufrieden? Sie können als weitere Option net user [Benutzername] domain
ausprobieren.
Die größere Frage
Wie Sie sehen, gibt es viele Wege, um die Mitgliedschaft in Active Directory-Gruppen manuell oder auf Programmierebene zu überprüfen. Die Frage, auf die fast immer keine Antwort gefunden wird, ist jedoch: „Worauf genau kann man mit dieser Gruppe zugreifen?“
Das ist besonders bei Gruppen mit schlechter Namensgebung schwierig herauszufinden. Aber selbst bei vorbildlichen Gruppennamen kommt es zu Fehlern, und Sie werden eigentlich immer Gruppen finden, die unerwünschten Datenzugriff ermöglichen.
Praktische nächste Schritte
Wie ziehen Sie also die Verbindungslinien zwischen Active Directory-Gruppenmitgliedschaften und den Dateien, Ordnern, SharePoint-Sites und Posteingängen, mit denen sie verbunden sind? Wenn Sie dazu nur native Tools und Verwaltungsoptionen von Windows verwenden, ist das eine überwältigende und zeitraubende Aufgabe.
Vereinbaren Sie eine 1-zu-1-Demo von Varonis DatAdvantage, um sich eine vernünftigere, einfachere und vor allem sichere Möglichkeit zur Verwaltung Ihrer Active Directory-Benutzer zeigen zu lassen.
What you should do now
Below are three ways we can help you begin your journey to reducing data risk at your company:
- Schedule a demo session with us, where we can show you around, answer your questions, and help you see if Varonis is right for you.
- Download our free report and learn the risks associated with SaaS data exposure.
- Share this blog post with someone you know who'd enjoy reading it. Share it with them via email, LinkedIn, Reddit, or Facebook.
Michael Buckbee
Michael hat als Systemadministrator und Softwareentwickler für Startups im Silicon Valley, die US Navy und alles dazwischen gearbeitet.