bash, AD: выбор пользователей из группы, входящих и в другую группу

Есть в нашем домене группа, куда добавлены работники разных филиалов, но мне надо обработать только тех, что находятся в моем филиале. Причем не всех, а только из отдельных подразделений.
В свое время я предлагал сделать возможность создания вложенных OU, чтобы группировать пользователей по отделам внутри филиала. В ответ узнал очень много о своей умственной неполноценности.
Не буду сейчас характеризовать тех, кто этого добивался - свалить всех в одну кучу, потому что свои проблемы я решил. Не так эффективно, как можно было, но для моих целей достаточно. А как они там фигачат километровые скрипты на PowerShell, чтобы найти жемчужинку в тоннах информационного навоза, меня не касается.
Однако, изменить структуру домена я не могу, поэтому приспосабливаемся.

Итак, задача:
1. есть группа, в которую свалены работники разных филиалов. Все логины имеют вид фамилия_инициалыN, где N - цифра, добавляемая в случае совпадения фамилии и инициалов (вонючий костыль вместо того, чтобы разрешить создавать субдомены)
2. мне надо отобрать своих
3. что-то с этими своими сделать.

SAMBA: несколько полезных команд по работе с...

1. добавить пользователя в группу

net rpc group addmem группа пользователь -U админ -S сервер_каталога

ГРУППУ и ПОЛЬЗОВАТЕЛЯ можно указывать без домена, если явно указываешь СЕРВЕР_КАТАЛОГА. Впрочем, я не проверял, можно ли не указывать СЕРВЕР_КАТАЛОГА, но просто указать домен.
АДМИН - пользователь, имеющий права на изменение групп и учетных записей пользователей


Почему rpc, а не ads? Потому что с ads что-то не получалось, а по rpc прошло "со свистом". Разбираться дальше было лень

2. удалить пользователя из группы

аналогично, но заменить addmem на delmem

3. удобный список групп, в которых состоит пользователь

id домен\\пользователь|sed 's/\,/\n/g'|sort -t \\ -k 2

Вывод будет примерно такой:

$ getent passwd contoso\\gates_wh
CONTOSO\gates_wh:*:129125:100513:Gates, William Henry, III:/home/CONTOSO/gates_wh:/bin/false

$ id contoso\\gates_wh|sed 's/\,/\n/g'|sort -t \\ -k 2
113723(CONTOSO\acl_cnt304421_p-sam4200sizpi)
129126(CONTOSO\acl_cnt304421_p-sam4200sizpi-def)
122960(CONTOSO\acl_cnt30srv012_031rw)
122867(CONTOSO\acl_cnt30srv012_o)
113709(CONTOSO\acl_cnt30srv041_p022f)
123333(CONTOSO\acl_cnt30srv041_p056f)
122903(CONTOSO\acl_cnt30srv042_valid)
122900(CONTOSO\acl_cnt30srv201-l-r)
uid=129125(CONTOSO\gates_wh) gid=100513(CONTOSO\domain users) группы=100513(CONTOSO\domain users)
122893(CONTOSO\rbl_user-gpo9)

То есть, sed-ом заменяем запятые, которые выдает стандартная id, перечисляя список групп, на переводы строки, чтобы группы вывелись в столбик.
Дальше сортируем полученный столбец. Можно было, в принципе, вырезать GID-ы, но лень, поэтому, чтобы сортировать не по GID-ам, а по названиям групп, объявляем символ "\" разделителем полей (это будет "\" между ДОМЕНОМ и ПОЛЬЗОВАТЕЛЕМ), и сортируем не с начала строки, а по второму полю.