修复Azure AD动态组脚本设置扩展属性后的用户分配异常问题

需将本地AD同步至Azure AD的用户分配到基于扩展属性（填充角色信息）配置的动态组，角色信息通过PowerShell脚本写入扩展属性。当前出现异常：

• 手动设置属性的用户可正常加入动态组
• 脚本设置属性的用户，虽属性值视觉上与手动设置完全一致，但无法加入动态组

需解决该问题以批量处理300+用户，确保脚本设置后用户能被动态组正确匹配。

核心问题是原脚本定义的角色值包含不可见/全角特殊字符（例如ICT manager中的空格为全角空格），导致脚本生成的字符串与手动输入的字符串在底层字符编码上存在差异——视觉显示相同，但实际字符不匹配，最终导致Azure AD动态组的规则无法识别。

以下是修正后的PowerShell脚本，关键修改点：

1. 将角色值中的全角空格替换为标准半角空格
2. 增加字符串清理逻辑，确保生成的角色字符串无特殊字符、格式统一

Add-Type -AssemblyName System.Windows.Forms

# 创建Windows窗体
$form = New-Object System.Windows.Forms.Form
$form.Text = "角色选择器"
$form.Size = New-Object System.Drawing.Size(1000, 1000)

# 创建流式布局面板用于展示可选角色
$flowLayoutPanel = New-Object System.Windows.Forms.FlowLayoutPanel
$flowLayoutPanel.Dock = "Fill"
$flowLayoutPanel.FlowDirection = "TopDown"
$flowLayoutPanel.WrapContents = $true
$flowLayoutPanel.AutoScroll = $true
$flowLayoutPanel.Padding = New-Object System.Windows.Forms.Padding(10)

# 定义可选角色值 - 修正全角空格为半角空格
$availableValues = "Sales manager", "Sales administrator", "Issue manager", "Change manager", "Document author", "Document reviewer", "Line manager", "HR responsible", "ICT manager", "ICT supporter"

# 按字母顺序排序角色
$availableValues = $availableValues | Sort-Object

# 为每个角色创建复选框
foreach ($value in $availableValues) {
    $checkBox = New-Object System.Windows.Forms.CheckBox
    $checkBox.Text = $value
    $checkBox.AutoSize = $true
    $checkBox.Padding = New-Object System.Windows.Forms.Padding(5)
    $checkBox.Anchor = [System.Windows.Forms.AnchorStyles]::Top -bor [System.Windows.Forms.AnchorStyles]::Left -bor [System.Windows.Forms.AnchorStyles]::Right
    $flowLayoutPanel.Controls.Add($checkBox)
}

# 将流式面板添加到窗体
$form.Controls.Add($flowLayoutPanel)

# 创建用户选择下拉框（从AD获取用户）
$userComboBox = New-Object System.Windows.Forms.ComboBox
$userComboBox.DropDownStyle = [System.Windows.Forms.ComboBoxStyle]::DropDownList
$userComboBox.Dock = "Top"
$userComboBox.DisplayMember = "Name"
$userComboBox.ValueMember = "DistinguishedName"
$userComboBox.DataSource = Get-ADUser -Filter * | Select-Object Name, DistinguishedName | Sort-Object Name

# 将下拉框添加到窗体
$form.Controls.Add($userComboBox)

# 创建清除选择按钮
$buttonClearSelection = New-Object System.Windows.Forms.Button
$buttonClearSelection.Text = "清除角色选择"
$buttonClearSelection.Dock = "Bottom"
$buttonClearSelection.Add_Click({
    foreach ($checkBox in $flowLayoutPanel.Controls) {
        $checkBox.Checked = $false
    }
})
$form.Controls.Add($buttonClearSelection)

# 创建生成并写入属性按钮
$buttonGenerate = New-Object System.Windows.Forms.Button
$buttonGenerate.Text = "生成角色字符串并写入扩展属性"
$buttonGenerate.Dock = "Bottom"
$buttonGenerate.Add_Click({
    # 获取选中的用户和角色
    $selectedUser = $userComboBox.SelectedItem.DistinguishedName
    $selectedValues = $flowLayoutPanel.Controls | Where-Object { $_.Checked }
    # 清理字符串：替换多空格为单空格、移除非可见字符、修剪首尾空格
    $selectedString = ($selectedValues.Text | ForEach-Object { $_ -replace '\s+', ' ' -replace '[^\x20-\x7E]', '' } | ForEach-Object { $_.Trim() }) -join ', '

    # 将清理后的字符串写入用户的extensionAttribute10
    Set-ADUser -Identity $selectedUser -Replace @{extensionAttribute10=$selectedString}

    # 显示操作结果弹窗
    [System.Windows.Forms.MessageBox]::Show("选中角色: $selectedString`r`n`r`n已写入用户扩展属性.", "操作完成", "OK", [System.Windows.Forms.MessageBoxIcon]::Information)
})
$form.Controls.Add($buttonGenerate)

# 创建清除扩展属性按钮
$buttonClear = New-Object System.Windows.Forms.Button
$buttonClear.Text = "清除扩展属性"
$buttonClear.Dock = "Bottom"
$buttonClear.Add_Click({
    # 获取选中用户并清除extensionAttribute10
    $selectedUser = $userComboBox.SelectedItem.DistinguishedName
    Set-ADUser -Identity $selectedUser -Clear extensionAttribute10

    # 显示操作结果弹窗
    [System.Windows.Forms.MessageBox]::Show("已清除用户的扩展属性.", "操作完成", "OK", [System.Windows.Forms.MessageBoxIcon]::Information)
})
$form.Controls.Add($buttonClear)

# 显示窗体并启动事件循环
$form.ShowDialog()

# 关闭后释放窗体资源
$form.Dispose()

修复后，可通过以下命令验证用户属性的实际字符内容，确保与手动设置的完全一致：

Get-ADUser -Identity <用户名> -Properties extensionAttribute10 | Select-Object Name, @{Name='ExtensionAttribute10字节数组'; Expression={[System.Text.Encoding]::ASCII.GetBytes($_.extensionAttribute10)}}

对比手动设置和脚本设置用户的字节数组，确认完全匹配即可。

内容的提问来源于stack exchange，提问作者Admir Ramic