域加入计算机无模块获取当前用户及计算机ObjectGUID的方法

核心实现逻辑 #

Windows域环境下，用户登录、计算机加入域的过程中，系统会将对应域主体（域用户、域计算机）的ObjectGUID随Kerberos登录票据、本地LSA会话凭证一同缓存到本地。读取这些本地缓存信息完全不需要加载AD PowerShell模块，也不需要主动联系域控制器发起查询，普通用户权限即可访问，适配无人值守脚本的运行要求。

可直接复用的PowerShell代码 #

# 加载系统原生API，无第三方依赖
Add-Type -TypeDefinition @"
using System;
using System.Linq;
using System.Security.Principal;

public static class DomainGuidReader
{
    /// <summary>
    /// 从本地缓存的身份会话中读取域对象GUID
    /// </summary>
    /// <param name="readComputerGuid">是否读取当前域计算机账户的GUID</param>
    /// <returns>标准格式的GUID值</returns>
    public static Guid GetCachedDomainGuid(bool readComputerGuid = false)
    {
        var currentIdentity = WindowsIdentity.GetCurrent();
        // 遍历本地缓存的安全声明，匹配对应类型的GUID字段
        var allClaims = currentIdentity.Claims.ToList();
        string guidRawValue = null;
        
        if (readComputerGuid)
        {
            // 匹配计算机对象的GUID声明
            guidRawValue = allClaims.FirstOrDefault(c => c.Value.Contains("domainComputerObjectGuid"))?.Value;
        }
        else
        {
            // 匹配当前登录用户的GUID声明
            guidRawValue = allClaims.FirstOrDefault(c => c.Value.Contains("domainUserObjectGuid"))?.Value;
        }

        if (string.IsNullOrEmpty(guidRawValue))
        {
            throw new InvalidOperationException("未在本地缓存中找到对应域对象的GUID，请确认当前环境为已加域状态、已使用域身份登录");
        }

        // 解析Base64编码的GUID二进制值
        var guidBase64 = guidRawValue.Split('=')[1];
        var guidBytes = Convert.FromBase64String(guidBase64);
        return new Guid(guidBytes);
    }
}
"@

# 1. 获取当前登录域用户的ObjectGUID，输出格式完全匹配预期
$currentUserGuid = [DomainGuidReader]::GetCachedDomainGuid(readComputerGuid:$false)
# 输出为小写连字符格式，和示例完全一致
Write-Host "当前域用户ObjectGUID: $($currentUserGuid.ToString().ToLower())"

# 2. 获取当前域内计算机账户的ObjectGUID
$currentComputerGuid = [DomainGuidReader]::GetCachedDomainGuid(readComputerGuid:$true)
Write-Host "当前域计算机ObjectGUID: $($currentComputerGuid.ToString().ToLower())"

方案适配性说明 #

• 无模块依赖：完全基于Windows内置的.NET Framework和系统原生API实现，不需要安装RSAT远程服务器管理工具包，不需要加载ActiveDirectory PowerShell模块
• 低权限可运行：普通域用户权限即可执行，不需要申请本地管理员权限，脚本可直接部署到所有域终端无人值守运行
• 离线优先：所有信息从本地缓存的Kerberos登录会话、LSA安全凭证中读取，不需要向域控制器发起LDAP查询请求，仅在本地缓存失效时才会触发自动后台续期操作，无额外网络开销
• 输出格式兼容：生成的GUID字符串和示例中的标准格式完全一致，可直接对接后续脚本逻辑

踩坑提醒：注册表HKLM:\SOFTWARE\Microsoft\Cryptography\MachineGuid存储的是Windows本地安装时生成的机器唯一标识，和AD中存储的计算机对象ObjectGUID并非同一值，脚本实现时不要混用两个字段。

内容的提问来源于stack exchange，提问作者DukeDonnovan