非域管理员是否可以仅用Powershell验证AD复制？

Question

假设没有安装管理工具，并且用户权限仅限于运行Powershell和标准用户对Active的访问。

• 在这种有限的情况下，用户可以验证AD复制吗？(repadmin不可用)
• 理论上，Powershell脚本需要检查与GPO处理和帐户复制相关的AD复制吗？

Answer 1

这是不可能的，取决于你想要取得的成就。(默认)用户丢失了对几乎所有重要对象和API的读取访问权限，即使在安装工具链时也是如此。

用户可以验证他自己的对象的复制(更改passowrd，根据DC验证凭据)，但是对复制协议的访问、wmi dsquery (如果没有RSAT就会丢失)、完整的\root\microsoftdfs命名空间和针对这种访问的所有必要的rpc端点ACL。