如何对比用户集合？Active Directory用户筛选无输出问题排查

核心问题：集合对比的对象类型不匹配 #

你用Get-ADGroupMember和后续Get-ADUser得到的$include、$exclude都是AD用户对象集合，但你用-contains去对比的是用户的DistinguishedName字符串——集合里的元素是完整对象，不是字符串，自然永远匹配失败，这就是为什么没有返回结果。

修正方案：提取DN字符串集合后再对比 #

先把$include和$exclude转换成用户DN的字符串数组，再用-contains对比就能生效：

# 获取OU内所有用户，包含MemberOf属性
$OU = Get-ADUser -Filter * -SearchBase "OU=Developers,OU=Everyone,DC=Organization,DC=com" -Properties MemberOf

# 提取需包含组的用户DN集合
$includeDNs = (Get-ADGroupMember -Identity "this group").DistinguishedName

# 提取需排除通讯组的用户DN集合（无需二次查询ADUser，直接取member属性的DN即可）
$excludeDNs = Get-ADObject -Filter 'Name -eq "that group"' -Properties member | 
              Select-Object -ExpandProperty member

# 筛选符合条件的用户
$filteredUsers = $OU | Where-Object {
    $includeDNs -contains $_.DistinguishedName -and
    $excludeDNs -notcontains $_.DistinguishedName
}

# 输出结果
$filteredUsers | Select-Object SAMAccountName, DistinguishedName

更高效的优化方案：直接用AD过滤器查询 #

没必要先拉取所有OU用户再过滤，直接通过LDAP过滤器让AD服务器完成筛选，性能更优（尤其适用于OU用户数量多的场景）：

# 替换成实际组的完整DistinguishedName（可通过Get-ADGroup "组名" | Select-Object DistinguishedName获取）
$includeGroupDN = "CN=this group,OU=Groups,DC=Organization,DC=com"
$excludeGroupDN = "CN=that group,OU=Distribution Groups,DC=Organization,DC=com"

# 构建LDAP过滤器：位于目标OU + 属于包含组 + 不属于排除组
$ldapFilter = "(&" +
              "(objectCategory=user)" +
              "(memberOf=$includeGroupDN)" +
              "(!memberOf=$excludeGroupDN)" +
              ")"

# 直接查询符合条件的用户
$filteredUsers = Get-ADUser -LDAPFilter $ldapFilter -SearchBase "OU=Developers,OU=Everyone,DC=Organization,DC=com"

# 输出结果
$filteredUsers | Select-Object SAMAccountName, DistinguishedName

注意事项 #

• 若涉及嵌套组（比如包含组里还有其他组），需要修改LDAP过滤器为(memberOf:1.2.840.113556.1.4.1941:=$includeGroupDN)，这个扩展过滤器会递归匹配所有嵌套成员。

内容的提问来源于stack exchange，提问作者Justin Brunkow