未加入域的计算机修改AD计算机对象所有者的PowerShell问题

问题场景 #

需要在未加入域的计算机上，使用技术人员的AD凭据连接Active Directory，将当前主机名对应的AD计算机对象所有者修改为该技术人员的AD账户。现有PowerShell代码在已加入域的计算机上可正常运行，但在未加入域的机器上完全失效。

失效原因 #

• AD模块依赖缺失：未加入域的计算机默认未安装RSAT（远程服务器管理工具）的Active Directory模块，执行Import-Module ActiveDirectory会直接失败，导致后续依赖AD cmdlet的逻辑无法执行。
• 域控制器定位失败：非域机器无法自动发现域控制器，仅使用域名contoso.com的LDAP路径可能无法建立有效连接。
• DNS解析问题：未加入域的机器若未配置指向域DNS服务器，会无法解析域控制器的FQDN，导致LDAP连接超时或失败。

解决方案 #

前置准备 #

1. 配置未加入域的计算机的DNS服务器，指向域的DNS服务器，确保能正常解析contoso.com及域控制器地址。
2. 确认网络连通性：测试能访问域控制器的LDAP端口（默认389），可使用Test-NetConnection dc01.contoso.com -Port 389验证。

修改后的PowerShell代码（不依赖AD模块） #

# 提示输入AD凭据
$credential = Get-Credential -Message "输入你的Active Directory凭据"

# 获取当前主机名
$computer = hostname
# 域名
$domainName = "contoso.com"
# 指定域控制器的FQDN或IP（替换为实际域控制器地址）
$domainController = "dc01.$domainName"

try {
    # 构建LDAP根路径
    $ldapRoot = "LDAP://$domainController/DC=$($domainName.Replace('.', ',DC='))"
    # 绑定到域根目录
    $domainEntry = New-Object System.DirectoryServices.DirectoryEntry(
        $ldapRoot,
        $credential.UserName,
        $credential.GetNetworkCredential().Password
    )

    # 搜索计算机对象
    $searcher = New-Object System.DirectoryServices.DirectorySearcher($domainEntry)
    $searcher.Filter = "(&(objectCategory=computer)(name=$computer))"
    $computerResult = $searcher.FindOne()

    if (-not $computerResult) {
        Write-Host "Active Directory中未找到计算机对象：$computer，请验证主机名"
        exit
    }
    Write-Host "已找到$computer对应的AD计算机对象"

    # 提取用户名的samAccountName部分（去掉域名前缀，比如从CONTOSO\user转为user）
    $samAccountName = $credential.UserName.Split('\')[-1]
    # 搜索新所有者的用户对象
    $searcher.Filter = "(&(objectCategory=user)(samAccountName=$samAccountName))"
    $ownerResult = $searcher.FindOne()

    if (-not $ownerResult) {
        Write-Host "Active Directory中未找到用户：$($credential.UserName)，请验证用户名"
        exit
    }
    Write-Host "已找到新所有者：$($credential.UserName)"

    # 绑定到目标计算机对象
    $computerEntry = $computerResult.GetDirectoryEntry()
    # 获取用户的SID
    $newOwnerSID = New-Object System.Security.Principal.SecurityIdentifier($ownerResult.Properties['objectSID'][0], 0)

    # 修改对象所有者
    $securityDescriptor = $computerEntry.ObjectSecurity
    $securityDescriptor.SetOwner($newOwnerSID)
    # 提交修改到AD
    $computerEntry.CommitChanges()

    Write-Host "计算机对象所有者已成功更新为$($credential.UserName)"
}
catch {
    Write-Host "更新计算机对象失败：$_"
}

代码说明 #

• 移除AD模块依赖：全程使用.NET的DirectoryServices类完成查询和修改操作，无需安装RSAT组件。
• 明确指定域控制器：通过$domainController变量直接指定域控制器地址，避免非域机器无法自动定位域控制器的问题。
• 动态构建LDAP根路径：根据域名自动生成LDAP根路径，提升代码通用性。
• 凭据处理优化：自动提取用户名的samAccountName部分，适配DOMAIN\user格式的凭据输入。

内容的提问来源于stack exchange，提问作者chaoticyeshua