Privilegierte-Konten-Check

Das Skript arbeitet ausschließlich LESEND. Es ändert nichts im Active Directory, legt nichts an, löscht nichts und
überträgt keine Daten. Es schreibt genau eine HTML-Datei (auf Wunsch zusätzlich CSV-Dateien) in den angegebenen
Ausgabeordner. Als privilegiert gelten Mitglieder (auch über verschachtelte Gruppen) von Domänen-Admins,
Organisations-Admins, Schema-Admins, Administratoren, Konten-Operatoren, Server-Operatoren und Sicherungs-Operatoren.
Die Gruppen werden über ihre festen Kennungen (SID) gefunden, das Skript arbeitet deshalb in jeder Windows-Sprache.

Voraussetzungen: Windows PowerShell 5.1, das Modul "ActiveDirectory" (auf Domänencontrollern vorhanden, sonst RSAT
"Active Directory Domain Services und Lightweight Directory Services-Tools") und ein Domänenkonto mit Leserechten.
Administratorrechte sind nicht erforderlich. Ohne Leserecht auf die Kennwortrichtlinien (Password Settings
Container) erscheint der Punkt P7 für Konten mit eigener Richtlinie als "nicht geprüft".

Grenzen: Die eingebauten Konten Gast, krbtgt und DefaultAccount werden nie aufgeführt, auch wenn sie in einer
privilegierten Gruppe stehen. Konten, deren Kennwort bei der nächsten Anmeldung geändert werden muss, erscheinen
nicht unter P3. Es wird nur die Domäne des Computers bzw. des angegebenen Servers gelesen; Mitglieder aus anderen
Domänen der Gesamtstruktur werden nicht erfasst. Die Fundstelle (Gruppe) nennt die oberste privilegierte Gruppe,
nicht den Verschachtelungspfad.