Azure AD中基于特定规则语法查找动态组的PowerShell问题

• 修正命令中的引号转义错误
  你当前命令里使用了"（HTML转义格式的引号），但Azure AD动态组的MembershipRule属性实际存储的是原生双引号"。这种转义字符会导致你的匹配模式无法命中真实的规则内容，直接造成查询结果为空。
  修正后的查询命令：

  Get-AzureADMSGroup | Where-Object { $_.MembershipRule -like '*user.country -eq "Singapore"*' } | Select-Object DisplayName, MembershipRule | Out-File -FilePath "C:\Temp\Groups.txt" -Encoding UTF8; notepad.exe "C:\Temp\Groups.txt"
  

• 验证当前会话的权限范围
  Get-AzureADMSGroup需要至少Group.Read.All或Directory.Read.All的权限才能读取所有组的完整属性（包括动态组的MembershipRule）。如果权限不足，会返回部分组或完全无法获取动态组数据。

  1. 检查当前会话的权限：

     Get-AzureADCurrentSessionInfo
     

  2. 重新连接并指定所需权限：

     Disconnect-AzureAD
     Connect-AzureAD -Scopes "Group.Read.All","Directory.Read.All"
     

• 改用Microsoft Graph PowerShell模块（官方推荐）
  AzureAD模块已被官方弃用，旧版本可能存在动态组属性读取的兼容性问题。Microsoft Graph模块对Azure AD资源的支持更稳定：

  1. 安装并连接Graph模块：

     Install-Module -Name Microsoft.Graph.Groups -Force
     Connect-MgGraph -Scopes "Group.Read.All"
     

  2. 查询包含指定规则的动态组：

     Get-MgGroup -Filter "GroupTypes/any(c:c eq 'DynamicMembership')" -Select DisplayName, MembershipRule | Where-Object { $_.MembershipRule -like '*user.country -eq "Singapore"*' } | Out-File -FilePath "C:\Temp\Groups.txt" -Encoding UTF8; notepad.exe "C:\Temp\Groups.txt"
     

  3. 查询所有动态组：

     Get-MgGroup -Filter "GroupTypes/any(c:c eq 'DynamicMembership')" -Select DisplayName, MembershipRule | Out-File -FilePath "C:\Temp\AllGroups.txt" -Encoding UTF8; notepad.exe "C:\Temp\AllGroups.txt"
     

• 先筛选动态组再执行匹配
  直接过滤出动态组后再做规则匹配，避免遍历所有组带来的性能或属性读取异常：

  Get-AzureADMSGroup -Filter "GroupTypes/any(g:g eq 'DynamicMembership')" | Where-Object { $_.MembershipRule -like '*user.country -eq "Singapore"*' } | Select-Object DisplayName, MembershipRule | Out-File -FilePath "C:\Temp\Groups.txt" -Encoding UTF8
  

• 检查输出文件编码
  Out-File默认使用Unicode编码，部分文本编辑器可能无法正确识别导致显示为空。添加-Encoding UTF8参数确保编码兼容：

  ... | Out-File -FilePath "C:\Temp\Groups.txt" -Encoding UTF8
  

内容的提问来源于stack exchange，提问作者Nathan Taylor