获取特定组内活跃且14天内登录的随机AD用户问题求助

你的代码失效的核心原因是逻辑顺序错误：先随机选了一个组内成员，再用过滤器校验这个用户是否符合要求——如果选中的用户不满足「14天内登录」或「启用状态」，Get-AdUser就会返回空值，自然拿不到结果。

正确的思路应该是：先从组内筛选出所有符合条件的用户，再从这个有效用户池里随机挑选一个。

方案1：本地过滤（直观易读） #

先拉取组内所有用户的属性，再在本地过滤出符合条件的用户，最后随机选择：

$date = (Get-Date).AddDays(-14)

# 筛选组内启用且14天内登录过的用户
$eligibleUsers = Get-ADGroupMember -Identity "GROUP" | 
    # 排除组内嵌套的其他组，只保留用户对象
    Where-Object { $_.objectClass -eq "user" } |
    # 获取用户的登录时间、启用状态等属性
    Get-ADUser -Properties LastLogonTimestamp, name, SamAccountName |
    # 过滤条件：启用状态为真，且最后登录时间在14天内
    Where-Object { 
        $_.Enabled -eq $true -and 
        [DateTime]::FromFileTime($_.LastLogonTimestamp) -gt $date 
    }

# 随机选一个符合条件的用户
if ($eligibleUsers) {
    $randomUser = $eligibleUsers | Get-Random | Select-Object name, SamAccountName
    $randomUser
} else {
    Write-Host "未找到符合条件的用户"
}

方案2：AD服务器端过滤（效率更高） #

利用AD的-Filter参数在服务器端完成过滤，减少本地数据传输量：

$date = (Get-Date).AddDays(-14)
# 将DateTime转换为AD识别的FileTime格式
$fileTimeDate = $date.ToFileTime()

$eligibleUsers = Get-ADGroupMember -Identity "GROUP" | 
    Where-Object { $_.objectClass -eq "user" } |
    # 在AD层面直接过滤启用且登录时间符合要求的用户
    Get-AdUser -Properties name, SamAccountName -Filter "Enabled -eq 'True' -and LastLogonTimestamp -gt $fileTimeDate"

if ($eligibleUsers) {
    $randomUser = $eligibleUsers | Get-Random | Select-Object name, SamAccountName
    $randomUser
} else {
    Write-Host "未找到符合条件的用户"
}

关键注意点 #

• 必须排除组内的嵌套组：用Where-Object { $_.objectClass -eq "user" }避免后续Get-AdUser处理组对象时报错
• LastLogonTimestamp是FileTime类型：需要转换为DateTime才能和本地时间变量比较，或者转换为FileTime格式在AD过滤器中使用
• 先过滤再随机：确保只在有效用户池中选择，不会出现选中无效用户导致无结果的情况

内容的提问来源于stack exchange，提问作者rubaduck