Lösungen

#=#########################################
# Beschreibung der Ein- und Ausgabe.
# Eingabe:
#    In der Variable $usr (siehe beispielsweise:
#     $usr = "CN=Siegfried Thoma,OU=Revision,OU=Benu,OU=Orga," +
#                              "DC=TISPAL,DC=de";
#    ) ist der Name des Benutzerkontos, aber in Domänenschreib-
#    weise, d.h. als FQDN (FQDN: Fully Qualified Domain Name) 
#    anzugeben (siehe hierzu das obige Beispiel).
#    Im Code unten ist mit der Angabe von
#          $usr = whoami /fqdn
#    gewährleistet, dass immer der Name bzw. der FQDN des
#    aktuell angemeldeten Benuters ermittelt, angegeben und
#    analysiert wird.
#
# Ausgabe:
#    Im aktuellen Verzeichnis, in dem das Script gestartet wird
#    müssen Schreibrechte existieren. bei der Ausführung werden
#    die folgenden Dateien erstellt (yyMMdd_hhmmss:
#            yy: Jahr, 2-stellig,
#            MM: Monat, numerisch, zweistellig,
#            dd: Tag, numerisch, zweistelig,
#            hh: Stunde, zweistellig,
#            mm: Minute, zweistellig,
#            ss: Sekunde, zweistellig):
#       - Datei: "grpList_yyMMdd_hhmmss.txt"
#           Enthält alle über die Active Directory Hierarchie
#           konfigurierten Gruppen für das jeweilige
#           Benutzerkonto (CSV-Datei mit Name der Spalte
#           in der ersten Zeile)
#       - Datei: "grpListZirkelBez_yyMMdd_hhmmss.txt"
#           Enthält alle Zirkelbezüge in der 
#           Active Directory Gruppenhierarchie
#           für das jeweilige Benutzerkonto.
#     
#    Anmerkung:
#      Die Liste der Gruppen enthält nicht, d.h. NICHT, alle
#      Gruppen, die für ein Benutzerkonto mit dem Befehl
#          whoami /groups
#      oder
#          whoami /all
#      angezeigt werden, weil Active Directory für ein Benutzer-
#      konto auch Standardgruppen vorsieht, die nicht durch den
#      Administrator als Teil der Gruppenhierarchie konfiguriert
#      werden (z.B. die Gruppen Jeder/Everyone, Authentifizierte
#      Benutzer/Authenticated Users).
#
#=
$usr = whoami /fqdn;

#=#########################################
# Initialisierung
#=
if ( [ADSI]::Exists( "LDAP://$usr" ) ) 
  {
   $usrObj=[ADSI]"LDAP://$usr";

#=#########################################
# Leere bzw. vordefinierte Datenstrukturen
# bzw. Arrays definieren.
#=
   $grList = [System.Collections.ArrayList]::new()
   $grHash = @{}
   $grHashNPath = @{}

#=#########################################
# Aktuelles Datum mit Uhrzeit für Ausgabedateien
# ermitteln und Definition der Namen der
# Ausgabedateien. Ausgabedateien leeren
# bzw. löschen.
#=
   $d = ( Get-Date ).ToString( "yyMMdd_HHmmss" )
   $outFN = "grpList_$d.txt";
   if ( Test-Path $outFN ) { 
         remove-item $outFN; }
   write-output "Gruppe;Tiefe;Pfad" >> $outFN
   $outFNNestCycle = "grpListZirkelBez_$d.txt";
   if ( Test-Path $outFNNestCycle ) { 
         remove-item $outFNNestCycle; }

#=#########################################
# Direkt zugeordnete Sicherheitsgruppen
# sind im ersten Schritt für ein Benuterkonto
# zu ermitteln und in der Liste $grList zu 
# speichern. Die Liste $grList wird durch 
# Anhängen am Ende erweitert und für die 
# Analyse weiterer Sicherheitsgruppen 
# vom Start beginnend abgearbeitet.
#=
   $usrObj.memberof | foreach { 
      write-host "Start mit Gruppe $_, die direkt dem" `
                      " Benutzer zugeordnet ist."; 
      $cnt = $grList.Add( "$_" ); 
      $grHash["$_"] = 1; 
      $grHashNPath[$_] = "";
      }

#=#########################################
# Alle relevante Sicherheitsgruppen
# werden nun schrittweise und kontrolliert
# durch Abarbeiten aller Elemente der Liste $grList
# ermittelt.
#=
   $i = 0;
   while ( $i -lt $grList.count )
      {
#=#########################################
# Analyse einer weiteren Sicherheitsgruppe, 
# mit Ermittlung relevanter Werte (Tiefe 
# in der Gruppenhierarchie und dem Zuordnungspfad
# vom Benutzerkonto zur Gruppe).
#=
       $curGrp = $grList[ $i ];
       $curGrpDepth = $grHash[$curGrp];
       $curGrpNestPath = $grHashNPath[$curGrp];

#=#########################################
# Indirekt zugeordnete Sicherheitsgruppen,
# d. h. über die Gruppenhierarchie und den 
# Pfad vom Benutzerkonto, zugeordnete weitere
# Sicherheitsgruppen werden nun analysiert.
#=
       $grObj = [ADSI]"LDAP://$curGrp"; 
       $grObj.memberof | foreach { 
           $curPath = $curGrpNestPath + "|$curGrp";

#=#########################################
# Kontrolle auf Zirkel bzw. Zyklen.
# Wenn eine neue Gruppe schon im Pfad vom 
# Benutzerkonto zur aktuellen Gruppe enthalten ist, 
# ergibt sich ein Zirkelbezug. Für diesen Fall wird 
# die aktuelle Gruppe und der Pfad in eine separate 
# Datei geschrieben.
#=
           if ( $curPath.indexof( $_, 0, 
                     [System.StringComparison]::
                     CurrentCultureIgnoreCase ) -lt 0  )
             {

#=#########################################
# Mehrfach vorkommende Gruppen,
# die in unterschiedlichen Pfaden enthalten
# sind, sollen nicht erneut analysiert werden. Dies 
# hat zur Folge, dass zwar alle über die Gruppen-
# hierarchie konfigurierten Gruppen identifiziert 
# werden, aber zum Teil Pfade vom Benutzerkonto zur
# jeweiligen Gruppe abgeschnitten werden.
#=
              if ( -not ( $grHash.contains( "$_" ) ) ) 
                {

#=#########################################
# Aktualisierung der benutzten Datenstrukturen, 
# insbesondere des Pfads vom Benutzerkonto zur
# aktuellen Sicherheitsgruppe und Fortschreibung
# bzw. Erweiterung der Tiefe im Gruppenbaum.
#=
                 $grHash["$_"] = $curGrpDepth + 1;
                 $grHashNPath[$_] = $curGrpNestPath + `
                                     "|$curGrp";

#=#########################################
# Weitere identifizierte Gruppen
# werden der Liste mit den zu analysierenden
# Gruppen hinzugefügt. Damit wird gewährleistet, dass 
# auch rekursiv alle Gruppen bis zur vorgesehenen Anzahl 
# (siehe unten: Abbruchkriterium) analysiert werden.
#=
                 $cnt = $grList.Add( "$_" );
                 }
              }
           else
             {

#=#########################################
# Zirkelbezüge in der Gruppenhierarchie,
# die identifiziert werden, werden in die
# dafür vorgesehene Datei ausgegeben.
#=
              write-output ("Warnung: Zirkelbezug für " + `
                    "Gruppe $($_) mit Pfad bzw. Schleifen" + `
                    "bezug $($curGrpNestPath)|$($curGrp)") `
                    >> $outFNNestCycle;
              }
           };


#=#########################################
# Direkt bzw. indirekt zugeordnete Sicherheitsgruppen 
# werden in die dafür vorgesehene Datei ausgegeben.
#=
       write-output "$curGrp;$curGrpDepth;$curGrpNestPath" >> $outFN;

#=#########################################
# Der Zähler für die Auswahl von Sicherheitsgruppen
# wird fortgeschrieben.
#=
       ++$i;

#=#########################################
# Abbruchkriterium, 
# um eine Endlosausführung zu verhindern. Dieser
# Wert sollte je nach Größe der Organisation ange-
# passt werden. Er sollte größer wie die Anzahl der
# für ein Benutzerkonto zu erwartenden Gruppen sein.
#=
       if ( $i -gt 200 ) { break; }
       }
   }
else
  {
   write-host "Benutzer mit FQDN $usr nicht gefunden";
   }