Get-LocalGroup – lista grup

Get-LocalGroup (lista grup) zwraca wszystkie lokalne grupy, w tym wbudowane (Administratorzy, Użytkownicy) oraz utworzone ręcznie.

Get-LocalGroup – czym jest lista grup lokalnych

Polecenie Get-LocalGroup jest elementem PowerShell przeznaczonym do odczytywania informacji o grupach zdefiniowanych lokalnie w systemie Windows. Grupa lokalna to nazwany zbiór kont użytkowników, któremu można przypisać określone uprawnienia. Dzięki temu nie trzeba nadawać każdemu użytkownikowi osobnych praw w wielu miejscach. Wystarczy dodać konto do właściwej grupy, a system zastosuje zestaw uprawnień związany z członkostwem. Lista grup może obejmować zarówno grupy dostarczane wraz z systemem, jak i grupy utworzone później przez administratora albo oprogramowanie instalowane na danym komputerze.

Najprostsze użycie polecenia ma postać:

Get-LocalGroup

Wynik jest prezentowany w formie tabeli zawierającej przede wszystkim nazwę grupy oraz jej opis. W polskiej wersji systemu nazwy wbudowanych grup mogą być spolszczone, natomiast w innych instalacjach często występują odpowiedniki angielskie. Samo wyświetlenie grup nie zmienia konfiguracji komputera. Jest to operacja odczytowa, przydatna podczas porządkowania kont, sprawdzania ustawień bezpieczeństwa oraz przygotowywania dokumentacji technicznej.

Warto odróżnić grupy lokalne od kont użytkowników. Konto reprezentuje konkretną tożsamość, natomiast grupa jest mechanizmem zbiorczego przypisywania praw. Jedno konto może należeć do kilku grup, a jedna grupa może obejmować wiele kont. Z tego powodu sama lista grup nie pokazuje jeszcze, kto ma dostęp do określonych zasobów. Do pełnej analizy potrzebne jest także sprawdzenie członków wybranej grupy oraz uprawnień przypisanych do folderów, drukarek lub innych elementów systemu.

Get-LocalGroup i kontekst techniczny odczytu

Get-LocalGroup korzysta z lokalnego magazynu kont i grup systemu Windows. Oznacza to, że polecenie koncentruje się na obiektach zapisanych na konkretnym komputerze. Nie należy automatycznie utożsamiać tej listy z grupami zarządzanymi centralnie w domenie. W środowisku, w którym występują konta lokalne oraz konta pochodzące z usługi katalogowej, oba rodzaje obiektów mogą pojawić się w różnych miejscach i być obsługiwane odmiennymi narzędziami. Prawidłowa interpretacja wyniku wymaga więc ustalenia, czy analizowany jest komputer samodzielny, czy urządzenie pracujące w większej strukturze zarządzania tożsamością.

Wbudowane grupy mają znaczenie funkcjonalne, a nie tylko porządkowe. Grupa administratorów zwykle skupia konta mogące wykonywać czynności wymagające podwyższonych uprawnień. Grupa użytkowników jest przeznaczona dla kont o bardziej ograniczonym zakresie działania. Mogą występować także grupy związane z obsługą kopii zapasowych, konfiguracją sieci, zdalnym dostępem, szyfrowaniem lub innymi funkcjami systemu. Ich obecność i nazwy zależą od wersji Windows, zainstalowanych składników oraz przyjętej konfiguracji.

Przy porównywaniu komputerów nie wystarczy sprawdzić, czy na obu urządzeniach znajduje się grupa o podobnej nazwie. Różnice mogą dotyczyć opisu, członków, identyfikatora zabezpieczeń oraz przypisanych praw. Zdarza się również, że aplikacja tworzy własną grupę, aby uprościć obsługę określonej funkcji. Zanim taka grupa zostanie usunięta, należy ustalić, czy nie jest wykorzystywana przez zainstalowany program.

Do pobrania jednej grupy można zastosować filtr:

Get-LocalGroup -Name "NazwaGrupy"

Jeżeli nazwa jest nieznana albo może zawierać znaki specjalne, bezpieczniejszym rozwiązaniem jest wyszukiwanie po właściwości:

Get-LocalGroup | Where-Object { $_.Name -like "*użyt*" }

Takie filtrowanie pozwala ograniczyć wynik do grup pasujących do fragmentu nazwy. W skryptach warto pamiętać, że nazwy lokalizowane mogą różnić się między instalacjami językowymi. Stabilniejszym punktem odniesienia bywa identyfikator zabezpieczeń albo jednoznacznie odczytany obiekt, a nie tekst widoczny w interfejsie.

Get-LocalGroup – typowe problemy z listą grup

Jednym z częstych problemów jest brak rozpoznania polecenia. Get-LocalGroup należy do modułu Microsoft.PowerShell.LocalAccounts, a moduł ten nie jest dostępny w każdej wersji systemu ani w każdym środowisku uruchomieniowym. Szczególną uwagę należy zwrócić na uruchamianie starszej wersji PowerShell, systemy o ograniczonych składnikach oraz sesje działające w innym kontekście niż lokalny komputer. W takiej sytuacji komunikat o nieznanym poleceniu nie musi oznaczać uszkodzenia grup, lecz brak właściwego modułu lub niezgodność środowiska.

Inny kłopot pojawia się wtedy, gdy oczekiwany wynik jest pusty albo różni się od obrazu znanego z innego komputera. Przyczyną może być inna wersja Windows, odmienny język interfejsu, usunięcie opcjonalnego składnika lub ograniczenie widoczności wyników przez sposób filtrowania. Warto najpierw uruchomić samo polecenie bez filtrów, a następnie sprawdzić właściwości pojedynczych obiektów:

Get-LocalGroup | Format-List *

Do dalszego przetwarzania lepiej pozostawić wynik w postaci obiektów PowerShell niż od razu zamieniać go w tekst. Przykładowo eksport do pliku CSV może wyglądać tak:

Get-LocalGroup | Select-Object Name,Description | Export-Csv -Path ".\grupy.csv" -NoTypeInformation -Encoding UTF8

Warto również odróżnić brak uprawnień do wykonania konkretnej operacji od samego odczytu listy. Wyświetlenie grup może działać, lecz sprawdzanie członków, zmiana składu grupy albo analiza praw dostępu może wymagać uruchomienia konsoli z odpowiednimi uprawnieniami. Nie należy podnosić uprawnień bez potrzeby, szczególnie gdy celem jest wyłącznie zebranie informacji.

Problematyczne bywają także nazwy zawierające spacje, polskie znaki lub znaki interpretowane przez powłokę. Warto stosować cudzysłowy i dokładnie sprawdzać wartość parametru -Name. Przy automatyzacji należy uwzględnić możliwość, że grupa nie istnieje, została przemianowana albo ma inną nazwę w konkretnej wersji systemu.

Get-LocalGroup – praktyczne wskazówki diagnostyczne

Najbezpieczniej rozpocząć analizę od zebrania pełnej listy i zapisania jej w uporządkowanej postaci. Pomaga to uchwycić różnice przed i po instalacji programu, zmianie konta albo aktualizacji systemu. Sam zrzut listy nie powinien być traktowany jako dowód praw dostępu, ale stanowi dobry punkt wyjścia do dalszego sprawdzania członkostwa i zasad bezpieczeństwa.

Przydatne są polecenia uzupełniające:

• Get-LocalGroup | Sort-Object Name – porządkuje grupy alfabetycznie.
• Get-LocalGroup | Select-Object Name, Description – pokazuje najważniejsze informacje w zwartej formie.
• Get-LocalGroupMember -Group "NazwaGrupy" – odczytuje członków wskazanej grupy.
• Get-LocalUser – wyświetla lokalne konta użytkowników, które można później zestawić z członkostwem w grupach.
• Get-LocalGroup | Measure-Object – podaje liczbę znalezionych grup.

Podczas tworzenia raportu warto zachować datę wykonania polecenia, nazwę urządzenia oraz wersję systemu. Bez tego późniejsze porównanie może być mylące, zwłaszcza gdy komputer przechodził aktualizacje lub zmiany administracyjne. W większej liczbie urządzeń przydatne jest ujednolicenie formatu eksportu i oddzielenie grup wbudowanych od grup dodatkowych. Nie należy jednak zakładać, że każda grupa niewystępująca na komputerze wzorcowym jest zbędna.

Przed usuwaniem lub modyfikowaniem grupy należy sprawdzić jej członków, opis, zastosowanie i powiązane zadania systemowe. Nie powinno się kierować wyłącznie nazwą, ponieważ opis może być niepełny, a program może korzystać z grupy bez wyraźnego wskazania tego faktu. Dobrą praktyką jest wykonanie kopii raportu przed zmianą oraz zapisanie uzasadnienia modyfikacji. W razie problemów z odczytem można rozpocząć od sprawdzenia wersji PowerShell, dostępności modułu oraz tego, czy polecenie jest uruchamiane lokalnie.

Get-LocalGroup – kiedy zgłosić się do serwisu

Samodzielne użycie Get-LocalGroup jest zwykle wystarczające do prostego sprawdzenia listy grup. Pomoc serwisowa staje się przydatna, gdy wynik wskazuje na nieznane konta, niespodziewane grupy, trudne do wyjaśnienia zmiany uprawnień albo problemy z uruchamianiem PowerShell. Dotyczy to również sytuacji, w której komputer działa niestabilnie, pojawiają się komunikaty o odmowie dostępu lub nie można ustalić, jaki program utworzył daną grupę.

Przy zgłoszeniu warto przekazać opis objawów, nazwę użytej wersji systemu oraz informację, czy problem pojawił się po aktualizacji, instalacji programu lub zmianie konta. Nie powinno się przesyłać haseł ani innych poufnych danych. W razie potrzeby Warszawskie Pogotowie Komputerowe 24/7 przyjmuje zgłoszenia pod numerem +48 22 100 48 29, a analiza może objąć zarówno konfigurację lokalnych grup, jak i powiązane ustawienia kont oraz uprawnień.

Ważne jest, aby przed zmianą konfiguracji ustalić cel działania. Inaczej przebiega kontrola zwykłego komputera domowego, inaczej porządkowanie urządzenia używanego przez kilka osób, a jeszcze inaczej diagnostyka po incydencie bezpieczeństwa. Lista zwrócona przez Get-LocalGroup jest wartościowym elementem takiej oceny, lecz dopiero w połączeniu z członkostwem grup, stanem kont i prawami dostępu pozwala zrozumieć rzeczywiste możliwości użytkowników systemu.