使用PowerShell导入AD用户时密码设置无效问题求助

可能的原因及对应解决方案 #

1. CSV密码字段存在隐藏字符或编码问题 #

CSV文件若用Excel保存，可能在密码字段末尾添加空格，或编码为UTF-8带BOM导致读取的密码包含不可见字符。

• 解决步骤：
  • 用Notepad++打开CSV文件，开启「显示所有字符」（视图→显示符号→显示所有字符），检查密码字段是否有多余空格、换行符或其他不可见字符。
  • 将CSV保存为ANSI编码或UTF-8无BOM编码，避免读取时乱码。
  • 在脚本中添加调试输出，确认读取到的密码与CSV一致：

    Write-Host "读取到用户 $sAMAccountName 的密码: '$pass'"
    

2. ChangePasswordAtLogon 参数的干扰 #

设置-ChangePasswordAtLogon $True时，部分AD环境可能限制初始密码直接登录，需管理员重置触发密码有效性。

• 解决步骤：
  • 暂时注释掉-ChangePasswordAtLogon $True参数，创建用户后测试密码是否能登录。若正常，再重新添加该参数。
  • 若必须保留强制改密码，可在创建用户后执行无需旧密码的重置操作：

    # 创建用户时添加-PassThru获取用户对象
    $newUser = New-ADUser 
    -Name "$FName $lname"
    -GivenName $FName 
    -Surname $lname 
    -DisplayName $dName 
    -UserPrincipalName $userprincipalname 
    -SamAccountName $sAMAccountName 
    -Department $department 
    -Title $title 
    -EmailAddress $email 
    -AccountPassword $securePassword 
    -ChangePasswordAtLogon $True 
    -Enabled $True 
    -Path "OU=***,OU=***,OU=***,DC=***,DC=***,DC=***"
    -PassThru
    
    # 重置密码（无需旧密码）
    Set-ADAccountPassword -Identity $newUser -Reset -NewPassword $securePassword
    

3. 密码不符合AD域密码策略 #

即使脚本未报错，也可能因为AD域密码策略（长度、复杂度、历史要求）未被满足，导致初始密码未正确应用。

• 解决步骤：
  • 执行net accounts命令查看域密码策略，确认最小密码长度、复杂度要求等规则。
  • 确保CSV中的密码完全符合策略要求（比如至少8位，包含大小写字母、数字、特殊字符）。

4. Set-ADAccountPassword命令使用错误 #

你之前使用的命令需要提供旧密码，但新创建用户的旧密码可能未生效，应使用-Reset参数跳过旧密码验证：

# 正确的重置密码命令（无需旧密码）
Set-ADAccountPassword -Identity $sAMAccountName -Reset -NewPassword (ConvertTo-SecureString $pass -AsPlainText -Force)

内容的提问来源于stack exchange，提问作者Wesley Olckers