Удаление членов группы AD в соответствии с их членством в определенных группах в одном подразделении

Question

Наши группы AD для фильтрации Websense были настроены с очень небольшой гибкостью для управления политиками. В категории "Разрешить все" есть только две группы. Теперь мне нужно создать более 20 групп и добавить пользователей в группы своих отделов, которые мне предоставил HR. Это легкая часть. Но мне нужно удалить этих пользователей из их старых групп и удостовериться, что в них нет нескольких членов, принадлежащих к веб-сообществу.

Я не могу просто удалить старые группы, там много пользователей, которым были предоставлены интернет-привилегии, а не член частичного списка, предоставленный мне HR, результат странной корпоративной структуры.

Я вообще не админ AD, но вы знаете поговорку "кто-то должен это делать" :)

Помощь со скриптами будет принята с благодарностью!

Answer 1

Вы можете достичь этого с помощью PowerShell. Сначала вам нужно найти пользователей, которые являются членами как новой, так и старой группы, а затем вам нужно удалить их из старой группы:

Import-Module ActiveDirectory

$group1 = Get-ADGroup "group1"
$group2 = Get-ADGroup "group2"

$UsersToRemove = Get-ADUser -Filter { (memberof -RecursiveMatch $group1) -and (memberof -RecursiveMatch $group2) } 

Remove-ADGroupMember -Identity "group1" -Members $UsersToRemove