Alle Gruppen eines Windows-User auf dem Client auflisten

Benutzergruppen definieren, auf welche Ressourcen ein Windows-Benutzerkonto Zugriff hat. Die Gruppenmitgliedschaften werden beim Anmelden eines Benutzers aufgelöst und im Security-Token des Startprozesses gespeichert. Man kann sich die Gruppenmitgliedschaften eines Benutzers z.B. mit dem Programm Process-Explorer aus den Sysinternals-Tools von Microsoft anzeigen lassen. Der Prozess-Explorer ist letztendlich eine Alternative zum Task-Manager, der neben den laufenden Prozessen noch deutlich mehr Informationen anzeigt. Das Token eines Prozesses wird angezeigt, wenn man die Eigenschaften des Prozesses aus dem Kontext-Menü öffnet und die Registerkarte "Security" öffnet. 

Normalerweise werden die Berechtigungen eines Prozesses an alle Unterprozesse vererbt. Öffnen Sie aus dem Explorer (oder dem Startmenü) heraus z.B. Word, erbt Word die Berechtigungen des übergeordneten Prozesses. Das gleiche gilt auch für die Powershell und die Kommandozeile. Wenn Sie den Process-Explorer nicht herunterladen wollen, können Sie die Gruppen aus einem der beiden Tools über das Kommandozeilentool whoami.exe anzeigen lassen. 

whoami /groups 

Mit Powershell kann man die Informationen noch deutlich schöner aufbereiten, da whoami.exe die Daten mit Hilfe des Parameters /fo wie format auch im CSV-Format ausgeben kann. CSV-Daten können von Powershell aber direkt gelesen, umgewandelt und in einem durchsuchbaren Fenster, dem Gridview, ausgegeben werden. 

whoami /groups /fo csv | Import-Csv | Out-Gridview 

Whoami kann übrigens auch die Security-ID des Benutzers ausgeben. Verwenden Sie hierfür den Parameter /user:

whoami /user 

 Den umgekehrten Weg, nämlich das Auflösen einer SID in einen Konto-Namen, beschreibt der Blog-Artikel Auflösen von SID zu Benutzername - und zurück.