DSREVOKE

Dsrevoke indique exactement les permissions qu’un utilisateur ou groupe donné a sur un domaine. Dans la commande

dsrevoke /report

vous utiliseriez le format domainname\username ou domainname\groupname pour la variable user-or-group-name, où domainname\username est le nom NetBIOS du domaine. (Je n’arrive pas à faire fonctionner le nom DNS).
Supposons que vous travailliez dans un domaine nommé bigfirm.biz avec Bigfirm comme nom de NetBIOS. Pour connaître les pouvoirs qu’un groupe appelé Test a sur le domaine local, vous taperiez

dsrevoke /report bigfirm\test

Le rapport résultant ne donnera pas une explication complète des pouvoirs de test dans bigfirm, mais il indiquera si Test a délégué explicitement des pouvoirs dans Bigfirm.
Toutefois, le rapport ne montrera pas les pouvoirs que Test possède parce qu’il appartient à un autre groupe. Si Test fait partie d’un groupe appelé Bigtest et si celui-ci a quelques pouvoirs, Test en héritera mais le rapport Dsrevoke ne l’affichera pas parce que le pouvoir en question n’est pas accordé explicitement à Test.

Pour identifier les pouvoirs de Test dans un domaine différent, on peut recourir à l’option /domain pour spécifier le domaine concerné par le rapport. Cette option prend le nom NetBIOS ou DNS. Si vous devez fournir à Dsrevoke un nom et un mot de passe administratif pour ce domaine, vous pouvez utiliser les options /username et /password. Par exemple, la commande

dsrevoke /report "/domain:apex.com"
/username:joeadmin /password:swordfish
bigfirm\test

identifierait les pouvoirs de Test sur un domaine appelé apex.com. Le nom du domaine est placé entre guillemets parce que le nom DNS du domaine inclut un point ; en effet, les caractères spéciaux tels que les espaces et les signes de ponctuation doivent être assortis de guillemets. Cette commande ordonne aussi à Dsrevoke d’offrir le nom de compte utilisateur joeadmin et le mot de passe swordfish, dans le cas où apex.com voudrait connaître l’identité du demandeur.

Mais les domaines peuvent être vastes et peuvent contenir de nombreuses OU. Pour un groupe donné, vous pouvez ne vous intéresser qu’à ses pouvoirs sur une OU particulière, sans vous soucier des pouvoirs qui lui ont été délégués plus généralement. Pour ordonner à Dsrevoke de ne pas explorer la totalité d’un domaine mais de se concentrer plutôt sur une OU particulière d’un domaine, vous utiliserez l’option /root:ou. L’OU doit être spécifiée en format LDAP (Lightweight Directory Access Protocol).