最准确快速的方式是直接查询“Domain Admins”组成员，该组默认拥有本域最高管理权限；可通过ADUC图形界面或PowerShell命令Get-ADGroupMember导出含姓名、登录名、启用状态及最近登录时间的完整列表，并需验证账户启用状态、密码过期情况和登录活跃度。

直接查“domain admins”组的成员，就是最准确、最快速的方式。这个组默认拥有整个域的最高管理权限，所有加入该组的账户都具备域管理员能力。

用图形界面（ADUC）查看 Domain Admins 成员

这是最直观、无需命令基础的方法：

• 在域控或已安装 RSAT 的管理机上，运行 dsa.msc（Active Directory 用户和计算机）
• 左侧导航树中，展开你的域名 → 展开 Users 容器
• 找到并双击打开 Domain Admins 组
• 切换到 成员 选项卡，列表即为当前拥有域管理员权限的所有账户

用 PowerShell 一键导出完整信息

适合需要记录、比对或批量处理的场景：

• 以域管理员身份运行 PowerShell（需已安装 RSAT-AD-PowerShell 模块）
• 执行命令：
  Get-ADGroupMember "Domain Admins" -Recursive | Get-ADUser -Property DisplayName, sAMAccountName, Enabled, LastLogonDate | Select DisplayName, sAMAccountName, Enabled, LastLogonDate | Sort-Object LastLogonDate -Descending
• 结果包含姓名、登录名、启用状态和最近登录时间，便于识别长期未用或异常账户

注意区分：Domain Admins ≠ Enterprise Admins

这两个组权限范围不同，不能混淆：

• Domain Admins：对本域内所有对象拥有完全控制权（默认不跨域）
• Enterprise Admins：对整个林（forest）中所有域都拥有最高权限，权限更广，成员应更严格管控
• 如需同时检查企业管理员，可单独运行：
  Get-ADGroupMember "Enterprise Admins" -Recursive

补充验证：确认账户是否实际具备管理能力

仅看成员列表还不够，有些账户可能被禁用或密码过期。建议同步检查关键属性：

• Enabled = True（账户启用）
• PasswordExpired = False（密码未过期）
• LastLogonDate 在合理范围内（例如近90天内），避免僵尸账号残留
• 若发现可疑账户，可通过 Get-ADUser -Identity xxx -Property MemberOf 查看其是否还属于其他高权限组（如 Schema Admins）