Описание команды NET LOCALGROUP

Команда NET LOCALGROUP преназначена для добавления, отображения и изменения локальных групп компьютера в операционной системе Windows. Ввод команды NET LOCALGROUP без параметров выводит имя сервера и имена локальных групп компьютера.

Для управления учетными записями пользователей используется команда NET USER , а для управления учетныеми данными пользователей NET ACCOUNTS.

Синтакис команды NET LOCALGROUP

net localgroup [имя_группы [/comment:»текст»]] [/domain]

net localgroup [имя_группы [/domain]]

net localgroup [имя_группы имя [ . ] [/domain]], где

• имя_группы — Имя локальной группы для добавления, удаления или раскрытия. При запуске команды net localgroup имя_группы без дополнительных параметров выводится список пользователей или глобальных групп, входящих в локальную группу.

• /comment:»текст» — Добавление комментария для новой или существующей группы. Длина комментария может составлять до 48 знаков. Текст следует заключать в кавычки.

• /domain — Выполнении операции на основном контроллере текущего домена. В противном случае операция осуществляется на локальном компьютере.

• имя [ . ] — Список из одного или нескольких имен пользователей или групп для добавления или удаления из локальной группы.

• /add — Добавление глобальной группы или пользователя в локальную группу. Для пользователей или глобальных групп группы, добавляемых в локальную группу, должны иметься учетные записи.

• /delete — Удаление группы или пользователя из локальной группы.

• net help localgroup —Отображение справки для указанной команды net.

Примеры команды NET LOCALGROUP

• Чтобы вывести список всех локальных групп на локальном сервере, введите: net localgroup;
• Чтобы добавить локальную группу «Group1» в локальную базу учетных записей пользователей, введите: net localgroup Group1 /add;
• Чтобы добавить локальную группу «Group1» в базу учетных записей пользователей домена, введите: net localgroup Group1 /add /domain;
• Чтобы добавить учетные записи существующих пользователей «User1», «User2» и «User3» в группу «Group1» домена, введите: net localgroup Group1 User1 User2 Use3 /add /domain;
• Чтобы вывести список пользователей локальной группы «Group1», введите: net localgroup Group1;
• Чтобы добавить комментарий к локальной группе «Group1», введите: net localgroup Group1 /comment:»Руководящий персонал».

Видео — Работа с утилитой NET LOCALGROUP

Получение списка членов локальной группы пользователей на серверах Windows

Как быстро составить список локальных администраторов на каждом сервере Windows? Задача непростая, если не знать, как правильно к ней подойти. Создать список членов группы пользователей на базе Active Directory можно с помощью целого ряда утилит командной строки, включая CSVDE и LDIFDE, но в случае с локальными учетными записями дело обстоит немного иначе.

Между тем, знание состава локальных групп безопасности необходимо для эффективного применения настроек групповой политики (Group Policy), которые в противном случае могут быть реализованы некорректно по целому ряду причин.

Решить эту проблему можно с помощью старой доброй команды net. Старушка net для меня священна — я до сих пор не могу отказаться от удобных однострочных команд, которые выручали меня все эти годы. Например, составить список пользователей, входящих в локальную группу администраторов на сервере Windows, можно следующей командой:

В полученном списке будут перечислены все имена пользователей и групп, образующих локальную группу администраторов, в том числе пользователи, определенные в настройках групповой политики Active Directory.

Другой вариант — воспользоваться сценарием Windows PowerShell. Как и прочие сценарии, преобразованные из команд DOS, он включает в себя несколько строк. Чтобы получить описанный выше результат с помощью PowerShell, можно выполнить следующие команды:

Примечание: сценарий был создан с использованием примеров с сайта PowerShell Code Repository .

Когда вам в следующий раз понадобится быстро получить сведения о членах локальных групп пользователей, достаточно будет выполнить этот простой сценарий, вывод которого можно будет экспортировать в текстовый файл для хранения и аудита.

NET LOCALGROUP — управление локальными группами через командную строку

Команда NET LOCALGROUP используется для редактирования локальный групп пользователей компьютера с операционной системой Windows. С помощью данной команды можно добавить или удалить пользователей и группы из локальных групп операционной системы. Или просто просмотреть их.

Синтаксис команды net localgroup выглядит следующим образом:

NET LOCALGROUP [имя_группы [/COMMENT:»текст»]] [/DOMAIN]

NET LOCALGROUP имя_группы имя […] [/DOMAIN]

имя_группы — указывает имя группу, которую нужно добавить, отредактировать или удалить. Чтобы получить список пользователей в группе, задайте только её имя;

/COMMENT — комментарий к новой или существующей группе. Текст должен быть заключен в кавычки;

/DOMAIN — операция выполняется на контроллере домена в текущем домене. В противном случае операция будет выполнена на локальном компьютере;

имя — указывает одно или несколько имён пользователей и (или) групп, которые должны быть добавлены или удалены из группы. Имена разделяются пробелами;

/ADD — добавляет группу или добавляет пользователя в группу;

/DELETE — удаляет группу или удаляет пользователя из группы.

Ниже несколько примеров использования команды net localgroup .

Отобразить список групп локального компьютера:

Отобразить сведения о локальной группе Администраторы:

Добавить или изменить комментарий к группе Администраторы:

Если захотите удалить комментарий, можно использовать /comment:»» .

Добавить доменную учётную запись пользователя в группу Администраторы (домен test, учётная запись user1):

Удаление ранее добавленного пользователя из группы Администраторы:

Аналогично добавляются и удаляются группы пользователей. Если нужно добавить или удалить локальную учётную запись или группу, не указывайте имя домена.

Windows admin blog

Полезные команды cmd, powershell, администрирование, фичи и решения проблем на win/winserver

AD: узнать в каких группах состоит пользователь / прямое и косвенное членство

В этой статье речь пойдет о том, как вывести список групп, в которых состоит пользователь. Конечно, это можно сделать из GUI, но не всегда такой вывод удовлетворяет цели.

Также, через GUI вы не определите ПОЛНЫЙ список членства (т.н. косвенное членство), когда одни группы могут быть вложены в другие.

Если группа, в которой состоит пользователь, является вложенной группой другой группы — пользователь наделяется полномочиями, заданными конечной группе, хотя и не является ее членом напрямую. Эту группу вы не увидите на вкладке пользователя «Член групп» (Member of)

Рассмотрим в рамках этой статьи следующие инструменты:

• whoami /groups — членство в группах текущего пользователя
• dsget user — покажет прямое и косвенное членство
• Get-ADUser (Powershell)

1) Whoami /groups

Если нам необходимо узнать, в каких группах состоит текущий пользователь , под которым мы залогинены, можно воспользоваться командой:

Правда вывод не очень удобен для восприятия. Будут отображены все группы с прямым и косвенным членством

2) Утилита dsget

Вывести список групп, в которых состоит пользователь:

(в данном примере выводим список групп, в которых состоит пользователь Peter Parker, находящийся в OU «IT department\Support team»)

Следующая команда отобразит расширенный список групп, в т.ч. в которых косвенно состоит пользователь (ключ -expand)

Утилита dsget доступна только на контроллерах домена

3) Get-ADUser

Для выполнения командлета Get-ADUser требуется установить Powershell модуль Active-Directory.

Чтобы вывести список групп требуемого пользователя в удобном формате, необходимо выполнить следующий конвейер команд в powershell:

Примечание: данная команда выведет прямое членство (по сути, содержимое закладки пользователя «Член групп» (Member of)

Управление локальными пользователями и группами с помощью PowerShell

Относительно недавно Microsoft добавила в Windows стандартный PowerShell модуль для управления локальными пользователями и группами под названием Microsoft.PowerShell.LocalAccounts. Ранее этот командлет нужно было качать и импортировать в PowerShell отдельно. В Windows Server 2016 и Windows 10 модуль LocalAccounts теперь доступен по умолчанию, т.к. он входит в состав PowerShell 5.1. В более ранние версии Windows для использования модуля управления локальными аккаунтами нужно установить Windows Management Framework 5.1.

Модуль LocalAccounts

Всего в модуль входит 15 командлетов. Полный список командлетов в модуле LocalAccounts можно вывести так:

Get-Command -Module Microsoft.PowerShell.LocalAccounts

• Add-LocalGroupMember – добавить пользователя в локальную группу
• Disable-LocalUser – отключить локальную учетную запись
• Enable-LocalUser – включить учетную запись (разблокировать)
• Get-LocalGroup – получить информацию о локальной группе
• Get-LocalGroupMember – получить список пользователей в локальной группе
• Get-LocalUser – получить информацию о локальном пользователе
• New-LocalGroup – создать новую локальную группы
• New-LocalUser – создать пользователя
• Remove-LocalGroup – удалить группу
• Remove-LocalGroupMember – удалить члена из группы
• Remove-LocalUser – удалить локального пользователя
• Rename-LocalGroup – переименовать группу
• Rename-LocalUser – переименовать пользователя
• Set-LocalGroup – изменить группу
• Set-LocalUser – изменить пользователя

Далее рассмотрим несколько типовых задач по управлению локальными пользователями и группами на компьютере с Windows 10 при помощи PowerShell командлетов из состава модуля LocalAccounts.

Управление локальными пользователями Windows с помощью PowerShell

Выведем список имеющихся на компьютере локальных пользователей Windows:

Как вы видите, на компьютере имеется 7 локальных учетных записей, 3 из которых отключены (Enabled=False).

Чтобы вывести все свойства конкретной локальной учетной записи (аналог комадлета для получения иформации о пользователях из AD — Get-ADUser), выполните:

Get-LocalUser -Name ‘root’ | Select-Object *

AccountExpires :
Description :
Enabled : True
FullName :
PasswordChangeableDate : 4/23/2018 11:23:48 PM
PasswordExpires :
UserMayChangePassword : True
PasswordRequired : False
PasswordLastSet : 4/22/2018 11:23:48 PM
LastLogon : 7/15/2018 9:04:32 PM
Name : root
SID : S-1-5-21-3650440056-3766451173-3310994491-1001
PrincipalSource : Local
ObjectClass : User

Чтобы получить конкретный атрибут пользователя, например, время последней смены пароля, выполните:

Get-LocalUser -Name ‘root’ | Select-Object PasswordLastSet

Создадим нового локального пользователя с помощью командлета New-LocalUser. Данный командлет позволяет создать следующие типы учетных записей:

• Локальные учетных записи Windows
• Учетные записи Microsoft
• Учетные записи Azure AD

При создании учётной записи пользователя с помощью New-LocalUser нельзя указывать ее пароль в качестве аргумента Password в открытом виде. Предварительно пароль нужно сконвертировать в безопасную строку, запросив пароль интерактивно:

$UserPassword = Read-Host –AsSecureString

Или указав пароль непосредственно в консоли PoSh:

$UserPassword = ConvertTo-SecureString «Pa$$word!!» -AsPlainText -Force

New-LocalUser «SIvanov» -Password $UserPassword -FullName «Sergey Ivanov» -Description «Local Account dlya udalennogo vhoda»

Чтобы изменить пароль пользователя, воспользуйтесь командой Set-LocalUser (предполагаем, что вы уже преобразовали новый пароль в SecureString):

Set-LocalUser -Name sivanov -Password $UserPassword –Verbose

Чтобы установить флаг «Срок действия пароля пользователя не истекает» («Password never expired»), выполните:

Set-LocalUser -Name sivanov –PasswordNeverExpires $True

Как видите, вам не нужно преобразовывать значение UserAccountControl, как при управлении свойствами учётной записи в AD.

Как вы помните, вы можете авторизоваться в Windows 10 под учетными записями Microsoft. Если нужно создать нового пользователя, связанного с аккаунтом Microsoft, выполните следующую команду (обратите внимание, что пароль аккаунта указывать не нужно, т.к. он хранится в Microsoft).

New-LocalUser -Name «MicrosoftAccount\SomeAccount@outlook.com» -Description «Это учетка в Microsoft»

Для создания локальной учётной записи, которая связана с вашим аккаунтом в Azure AD (например, вы пользуетесь Office 365), выполните команду:

New-LocalUser -Name «AzureAD\Itpro@winitpro.ru» -Description «Это учетка в Azure AD»

Чтобы удалить этого локального пользователя, выполните:

Remove-LocalUser -Name sivanov -Verbose

Управление локальными группам Windows с помощью PowerShell

Теперь выведем список локальных групп на компьютере:

Создадим новую группу:

New-LocalGroup -Name ‘RemoteSupport’ -Description ‘Remote Support Group’

Теперь добавим в новую группу несколько локальных учетных записей и группу локальных администраторов:

Add-LocalGroupMember -Group ‘RemoteSupport’ -Member (‘SIvanov’,’root’, ‘Администраторы’) –Verbose

Если ваш компьютер входит в домен, то вы можете добавить в локальную группы и доменные аккаунты или группы. Для этого их нужно указывать в формате DomainName\user2 или DomainName\’domain admins’.

Также вы можете добавить пользователя в группы с помощью следующего конвейера (добавим пользователя в локальные администраторы):

Get-Localuser -Name ‘sivanov’ | Add-LocalGroupMember -Group ‘Administrators’

Выведем список пользователей в локальной группе:

Get-LocalGroupMember -Group ‘RemoteSupport’

Как вы видите, мы используем только локальные учетные записи (PrincipalSource – Local). Однако здесь могут быть доменные аккаунты (domain), учетные записи Microsoft (MicrosoftAccount) и аккаунты из Azure (AzureAD).

Чтобы вывести список групп, в которых состоит конкретный пользователь, придется перебрать все локальные группы на компьютере:

foreach ($LocalGroup in Get-LocalGroup)
<
if (Get-LocalGroupMember $LocalGroup -Member ‘sivanov’ –ErrorAction SilentlyContinue)
<
$LocalGroup.Name
>
>

Чтобы убрать пользователя из группы, выполните:

Remove-LocalGroupMember -Group ‘RemoteSupport’ –Member ‘sivanov’

Для управления локальными пользователями на удаленном компьютере нужно сначала подключится к нему через WinRM командлетами Invoke-Command или Enter-PSSession.

Например, нам нужно собрать список учетных записей в локальной группе на удаленных компьютерах:

$s = new-pssession -computer pc01,pc02,pc03
invoke-command -scriptblock -session $s -hidecomputername | select * -exclude RunspaceID | out-gridview -title «LocalAdmins»