如何查看Active Directory中特定对象的权限（以用户Kavin为例）

嗨，针对你想查看用户Kavin拥有的各类权限（比如对文件夹的读写、组的成员编辑权限这类需求），我给你整理了几种实操性强的方法：

一、查看Kavin在Active Directory对象上的权限（比如组、OU等） #

方法1：用Active Directory Users and Computers（ADUC）高级视图 #

这是最常用的GUI操作方式，步骤如下：

• 打开Active Directory Users and Computers，点击顶部菜单栏的「查看」，勾选「高级功能」（必须开启这个才能看到权限相关的高级选项）
• 如果你想查看Kavin对某个特定组的权限：找到目标组，右键选择「属性」→ 切换到「安全」标签页，在用户列表里找到Kavin，就能看到他被赋予的权限（比如「编辑成员身份」这类）
• 要是想批量查看Kavin在AD中所有对象的权限，这个方法效率不高，建议用下面的命令行方式。

方法2：用PowerShell命令查询 #

PowerShell能批量导出权限，非常适合排查大范围的权限情况，推荐这几个实用命令：

• 查询Kavin在某个OU下所有对象的权限：

  Get-Acl -Path "LDAP://OU=Sales,DC=contoso,DC=com" | Select-Object -ExpandProperty Access | Where-Object {$_.IdentityReference -match "Kavin"}
  

  把路径换成你实际的OU或AD对象路径即可，输出结果会显示权限类型、适用范围等细节。
• 查询Kavin对所有AD组的成员管理权限：

  Get-ADGroup -Filter * | ForEach-Object {
      $acl = Get-Acl -Path "LDAP://$($_.DistinguishedName)"
      $acl.Access | Where-Object {$_.IdentityReference -match "Kavin" -and $_.ActiveDirectoryRights -match "WriteProperty"}
  }
  

  这个命令会遍历所有AD组，筛选出Kavin拥有写入属性（也就是编辑成员）权限的组。

二、查看Kavin在文件服务器文件夹上的权限 #

如果是文件系统里的文件夹权限，操作也很直观：

• 找到目标文件夹，右键选择「属性」→ 切换到「安全」标签页，在用户列表中找到Kavin，就能看到他的具体权限（比如「读取」「完全控制」）
• 要是想批量查看Kavin有权限的所有文件夹，可以用PowerShell递归查询：

  Get-ChildItem -Path "D:\Shared" -Recurse | Get-Acl | Where-Object {$_.Access | Where-Object {$_.IdentityReference -match "Kavin"}} | Select-Object Path, Access
  

  把路径换成你的共享文件夹根目录，命令会自动查找所有Kavin有权限的文件夹并输出权限详情。

三、使用专门的权限审计工具 #

如果你的环境比较复杂，经常需要做权限审计，可以用微软的Active Directory Rights Management Services (AD RMS) 或者第三方工具（比如SolarWinds Permission Analyzer），这类工具能直观展示用户的所有权限分布，还能生成标准化的审计报告。

备注：内容来源于stack exchange，提问作者Sandy Santhosh