Почему может не выполняться команда Get-ADUser?

Question

[LAG_LAGbI4]

Запускаю на контроллере домена от имени администратора (домена) команду

Get-ADUser -Identity "username" -Properties MemberOf | Select-Object -ExpandProperty MemberOf
либо
Get-ADUser -Identity username -Properties MemberOf | Select-Object -ExpandProperty MemberOf

у части пользователей в ответ выдаётся список групп, а у части ничего не выдаётся.
Логины состоят из английских букв без пробелов.
что я делаю не так?

конечная цель - увидеть список групп, в которых состоит пользователь.

Comments

[Alexey Dmitriev]

добавьте -Server

[LAG_LAGbI4]

Alexey Dmitriev, ничего не изменилось. На каких-то пользователях работает, а на каких-то нет

[Alexey Dmitriev]

Deny права не стоят на OU, где проблемные пользователи?

[LAG_LAGbI4]

Alexey Dmitriev, нет.

[MVV]

Группы, в которые пользователи входят - одни и те же?
Контроллер домена у вас один? А если нет - нет ли проблем с репликацией?

И ещё: пользователи входят в группы непосредственно или через другие группы?

PS Атрибут MemberOf - это необычный атрибут, это - атрибут обратной ссылки. И логика там несколько другая. Так что надо рыть дополнительно.

Answer 1

[Роман Безруков]

конечная цель - увидеть список групп, в которых состоит пользователь

если вы используете Get-ADUser, то почему не пользуйтесь Get-ADPrincipalGroupMembership (Global Catalog, скорее всего, у вас есть)?

Comments

[LAG_LAGbI4]

не прокатило.

Get-ADPrincipalGroupMembership "moroshkin" | Select-Object Name

выдает только одну группу - пользователи домена у большинства пользователей.

а в другом домене всё нормально.

группы - глобальная, безопасность в обоих случах.