Dump AD

Sommaire

Problématique

En PowerShell, on veut récupérer dans des variables en RAM (hash tables) tous les objets user, group et computer d'un domaine AD en un minimum de requêtes LDAP et sans faire fumer un DC plus que nécessaire.

On sait déjà faire naïvement:

Get-ADUser -filter * -properties *

Mais sur un AD d'un million d'objets, ... c'est long (voire ça ne peut pas se terminer correctement).

On présente ici une solution consistant à découper cela en plusieurs requêtes LDAP afin de charger en mémoire toutes les données utiles en un minimum de temps.

Méthode

En PowerShell:

D'abord, on spécifie les attributs à récupérer, même s'il y en a beaucoup, plutôt que de faire bêtement "*". Par exemple

$Properties  = @("MemberOf", "Manager", "PasswordLastSet", "pwdLastSet", "PasswordNeverExpires", "PasswordNotRequired", "c", "CN", "co", "Company", "Country", "DisplayName", "EmailAddress", "EmployeeID", "GivenName", "mail", "Name", "sn", "Surname", "UserPrincipalName", "ServicePrincipalNames", "DoesNotRequirePreAuth", "PrimaryGroupID", "PasswordExpired")

Récupérer dans une variable la liste de tous les objets:

$users       = Get-ADObject -Filter {ObjectClass -eq "user" -and ObjectClass -ne "computer"} -Properties DistinguishedName -Server $DOMAIN
$nbusers     = $users.count

Note:

Un Get-ADObject est beaucoup plus rapide qu'un Get-ADUser car cette dernière commande est une généralisation de Get-ADObject qui effectue davantage de travail. Get-ADObject effectue moins de conversion d'attributs, crée des objets .NET plus simples, expose moins de propriétés calculées, et récupère souvent moins d'attributs LDAP.

Extraire la liste des premiers caractères pour tous les objets:

  $chars     = [char[]]::new($users.Count)
  $total     = $users.Count
  $i         = 0
  foreach ($item in $users) {
    $dn      = $item.DistinguishedName
    $s       = $dn.Substring(3)  # enlève "CN="
    if ($s.Length -gt 0) {
      $chars[$i] = [char]::ToLowerInvariant($s[0])
    } else {
      $chars[$i] = [char]0
    }
    $i++
  }
  $uchars    = $chars | sort -unique
  $nbchars   = $uchars.count

$uchars contient la liste des premiers caractères.

On peut maintenant scinder la collecte globale en autant de requêtes que de premiers caractères différents existants, en faisant une boucle:

  $users     = @{}
  $iteration = 0
  foreach ($char in $uchars) {
    $percent = [int]((++$iteration) * 100 / $nbchars)
    Write-Progress -Activity "Building final users hashtable" -PercentComplete $percent -Status "$percent %"
    Get-ADUser -Server $DOMAIN -Filter "SamAccountName -like '$char*'" -Properties $Properties | ForEach-Object { $users[$_.DistinguishedName] = $_ }
  }

Note:

Bien sûr si tous les comptes commencent par le même caractère, ça ne marche plus, il faut changer le critère de séparation des objets, mais le principe reste le même.

Utilisation, une fois les objets chargés en mémoire:

Compter les objets

$users.count

Afficher les clés

$users.keys

Construire un index des clés

$index = @()
$users.Keys | ForEach-Object { $index += $_ }

Lister les clés

$index

Interroger un objet

$users["CN=user1234,OU=PARIS,OU=EMEA,OU=CONTOSO,DC=LAB,DC=LOCAL"]

Interroger une properties d'un objet

($users["CN=user1234,OU=PARIS,OU=EMEA,OU=CONTOSO,DC=LAB,DC=LOCAL"]).samaccountname

Script

Voici un exemple complet de script pouvant récupérer tous les users dans un domaine AD en un temps raisonnable.

$DOMAIN      = "lab.local"


## Attributs à récupérer
$Properties  = @("MemberOf", "Manager", "PasswordLastSet", "pwdLastSet", "PasswordNeverExpires", "PasswordNotRequired", "c", "CN", "co", "Company", "Country", "DisplayName", "EmailAddress", "EmployeeID", "GivenName", "mail", "Name", "sn", "Surname", "UserPrincipalName", "ServicePrincipalNames", "DoesNotRequirePreAuth", "PrimaryGroupID", "PasswordExpired")


## 1/ Récupération de la liste des users via Get-ADObject
Write-Host "> Getting all user objects from $DOMAIN..."
$ts = Measure-Command {
  $users     = Get-ADObject -Filter {ObjectClass -eq "user" -and ObjectClass -ne "computer"} -Properties DistinguishedName -Server $DOMAIN
}
Write-Host "Duration: " -NoNewline ;"{0:hh\:mm\:ss}" -f $ts
$nbusers     = $users.count
Write-Host "> $DOMAIN contains $nbusers users."


## 2/ Extraction de la liste des 1ers caractères
Write-Host "> Sorting objects by first character..."
$ts = Measure-Command {
  $chars     = [char[]]::new($users.Count)
  $total     = $users.Count
  $i         = 0
  foreach ($item in $users) {
    $dn      = $item.DistinguishedName
    $s       = $dn.Substring(3)  # enlève "CN="
    if ($s.Length -gt 0) {
      $chars[$i] = [char]::ToLowerInvariant($s[0])
    } else {
      $chars[$i] = [char]0
    }
    $i++
  }
  $uchars    = $chars | sort -unique
  $nbchars   = $uchars.count
}
Write-Host "Duration: " -NoNewline ;"{0:hh\:mm\:ss}" -f $ts
Write-Host "> Dividing query in $nbchars chunks."


## 3/ Récupération de la liste des users via Get-ADUser
$ts = Measure-Command {
  Write-Host "> Gathering data..."
  $users     = @{}
  $iteration = 0
  foreach ($char in $uchars) {
    $percent = [int]((++$iteration) * 100 / $nbchars)
    Write-Progress -Activity "Building final users hashtable" -PercentComplete $percent -Status "$percent %"
    Get-ADUser -Server $DOMAIN -Filter "SamAccountName -like '$char*'" -Properties $Properties | ForEach-Object { $users[$_.DistinguishedName] = $_ }
  }
}
Write-Host "Duration: " -NoNewline ;"{0:hh\:mm\:ss}" -f $ts

Script de collecte complet

Voici un exemple concret de script capable de chercher tous les domaines AD connus et de "dumper" leur contenu. On se base sur le principe exposé précédemment et on récupère:

Users
Groupes
Computers
OUs
Contacts