如何解决Active Directory中两个本地OU同步的用户删除异常问题？

你遇到的先创建再删除的问题，核心是同步流程顺序错误+存在性检查逻辑低效。如果你的脚本是先执行“创建/更新用户”再执行删除逻辑，就会出现源中已删除的用户被错误创建（创建逻辑未做正确校验），随后又被删除逻辑清理的矛盾。同时当前嵌套循环多次查询AD的方式，不仅效率低下，还可能因查询时间差导致误判。

解决方案 #

重构同步逻辑，按以下步骤执行即可避免异常：

1. 一次性收集所有源用户数据：将所有源OU中的用户标识（你用的是EmailAddress）及属性存入哈希表，避免重复查询AD。
2. 先清理目标冗余用户：删除目标OU中不在源集合内的用户。
3. 再处理创建/更新：对源中的用户，目标中不存在则创建，存在则更新属性。

修正后的完整代码示例 #

# 定义源OU和目标OU的LDAP路径
$SourceOUs = @("OU=Source1,DC=domain,DC=com", "OU=Source2,DC=domain,DC=com")
$TargetOU = "OU=CCTV,DC=domain,DC=com"

# 第一步：收集所有源用户的Email和属性，存入哈希表（Email为唯一键）
$SourceUserMap = @{}
foreach ($SourceOU in $SourceOUs) {
    Get-ADUser -Filter * -SearchBase $SourceOU -Properties EmailAddress, GivenName, Surname, SamAccountName, Enabled | ForEach-Object {
        # 跳过无邮箱的用户，避免匹配错误
        if (-not [string]::IsNullOrEmpty($_.EmailAddress)) {
            $SourceUserMap[$_.EmailAddress] = $_
        }
    }
}

# 第二步：清理目标OU中不在源集合的用户
$TargetUsers = Get-ADUser -Filter * -SearchBase $TargetOU -Properties EmailAddress
foreach ($TargetUser in $TargetUsers) {
    if (-not $SourceUserMap.ContainsKey($TargetUser.EmailAddress)) {
        Remove-ADUser -Identity $TargetUser -Confirm:$false
        Write-Host "已删除CCTV-OU中的用户：$($TargetUser.EmailAddress)（源OU中已不存在）"
    }
}

# 第三步：创建/更新目标OU中的用户
foreach ($SourceUser in $SourceUserMap.Values) {
    $TargetUser = Get-ADUser -Filter "EmailAddress -eq '$($SourceUser.EmailAddress)'" -SearchBase $TargetOU -ErrorAction SilentlyContinue
    
    if (-not $TargetUser) {
        # 创建新用户（密码根据AD策略调整）
        $NewUserParams = @{
            GivenName       = $SourceUser.GivenName
            Surname         = $SourceUser.Surname
            SamAccountName  = $SourceUser.SamAccountName
            EmailAddress    = $SourceUser.EmailAddress
            Path            = $TargetOU
            AccountPassword = (ConvertTo-SecureString "TempP@ss123" -AsPlainText -Force)
            Enabled         = $SourceUser.Enabled
            Confirm         = $false
        }
        New-ADUser @NewUserParams
        Write-Host "已在CCTV-OU中创建用户：$($SourceUser.EmailAddress)"
    } else {
        # 更新现有用户属性
        $UpdateUserParams = @{
            GivenName       = $SourceUser.GivenName
            Surname         = $SourceUser.Surname
            SamAccountName  = $SourceUser.SamAccountName
            EmailAddress    = $SourceUser.EmailAddress
            Enabled         = $SourceUser.Enabled
            Confirm         = $false
        }
        Set-ADUser -Identity $TargetUser @UpdateUserParams
        Write-Host "已更新CCTV-OU中的用户：$($SourceUser.EmailAddress)"
    }
}

注意事项 #

• 确保EmailAddress是唯一标识：如果源OU存在重复邮箱的用户，哈希表会覆盖数据，需根据实际情况更换匹配键（如SamAccountName、EmployeeID）。
• 密码设置：创建用户的临时密码需符合你的AD密码策略，不建议直接复制源用户密码（AD密码不可逆存储）。
• 权限要求：运行脚本的账号需拥有目标OU的创建/删除/修改权限，以及源OU的读取权限。

内容的提问来源于stack exchange，提问作者Flightcode