如何用Ansible优雅且幂等地实现AD离职用户的主组切换与组成员清理

我太懂你现在的困扰了——用win_domain_user的replace模式清理组成员时，Domain Users死活去不掉，这其实是AD的底层机制限制：每个用户必须绑定一个主组，默认的Domain Users就是主组，直接用replace根本没法移除主组，得先把主组切换到TerminatedUsers，再去清理其他成员关系才行。

核心思路 #

AD用户的主组无法直接移除，必须先将主组切换为目标组（TerminatedUsers），再执行成员关系替换，这样就能彻底清理掉除TerminatedUsers外的所有组（包括原来的Domain Users），同时保证操作的幂等性——重复执行也不会产生多余变更。

具体Ansible任务 #

# 第一步：先把用户的主组切换为TerminatedUsers
- name: 将离职用户的主组设置为 TerminatedUsers
  community.windows.win_domain_user:
    name: "{{ username }}"
    primary_group: TerminatedUsers
    state: present
  delegate_to: "{{ jump_host }}"

# 第二步：清理用户的其他组成员关系，仅保留TerminatedUsers
- name: 移除用户除 TerminatedUsers 外的所有组
  community.windows.win_domain_user:
    name: "{{ username }}"
    groups:
      - TerminatedUsers
    groups_action: replace
    state: present
  delegate_to: "{{ jump_host }}"

为什么这样有效？ #

1. 主组切换优先：第一个任务先把用户的主组从Domain Users改成TerminatedUsers，这一步是完全幂等的——如果用户的主组已经是TerminatedUsers，任务会直接跳过，不会做任何无效修改。
2. 彻底清理成员：完成主组切换后，第二个任务用replace模式设置组成员为仅TerminatedUsers，这时候Domain Users不再是用户的主组，模块就可以安全地移除这个组的成员关系了。同样，只要用户已经只属于TerminatedUsers，这一步也会直接跳过。

注意事项 #

• 确保TerminatedUsers是安全组：AD的主组只能是安全组，分发组无法设置为主组，如果你的TerminatedUsers是分发组，得先把它改成安全组才行。
• 用户状态：state: present保证用户账号保留（符合离职后保留账号的场景），如果你的场景是直接删除账号，那需要调整参数，但根据你的描述，这个配置是完全匹配需求的。

这样既解决了你的问题，又保持了操作的优雅性和幂等性，完全不需要额外写PowerShell脚本~

备注：内容来源于stack exchange，提问作者Daniel