关于使用Azure AD PowerShell模块实现本地AD组managedBy属性至Azure AD组Owner字段自动化同步的问题求助

嘿，我之前也碰到过几乎一模一样的场景！手动给100多个组加所有者确实要命，给你一个适配Azure AD组管理模块的临时自动化方案，完美绕开PowerShell 7的兼容性问题：

核心思路 #

既然Azure AD组管理模块在PowerShell 7里因为.NET Core的问题跑不起来，咱们直接用Windows PowerShell 5.1（基于.NET Framework，完全兼容该模块）来实现同步。步骤逻辑很清晰：

• 从本地AD导出目标组的managedBy属性，提取出用户名部分
• 匹配Azure AD中同名的同步组
• 批量将提取到的用户设置为对应Azure AD组的所有者

具体脚本示例 #

# 1. 导入本地AD模块（需提前安装RSAT工具）
Import-Module ActiveDirectory

# 2. 连接到Azure AD
Connect-AzureAD

# 3. 获取本地AD中带managedBy属性的组（可按需添加OU过滤条件）
$onPremGroups = Get-ADGroup -Filter * -Properties managedBy | Where-Object { $null -ne $_.managedBy }

# 4. 遍历组，同步所有者到Azure AD
foreach ($group in $onPremGroups) {
    # 从managedBy中提取CN部分（即用户名）
    $managedByUsername = ($group.managedBy -split ",", 2)[0] -replace "^CN=",""
    
    # 查找Azure AD中的同名组
    $azureADGroup = Get-AzureADGroup -Filter "displayName eq '$($group.Name)'"
    if ($null -eq $azureADGroup) {
        Write-Warning "Azure AD中未找到匹配组：$($group.Name)，跳过"
        continue
    }
    
    # 查找对应Azure AD用户（优先用UPN匹配，可根据环境调整匹配规则）
    $azureADUser = Get-AzureADUser -Filter "userPrincipalName eq '$managedByUsername@yourdomain.com'" -ErrorAction SilentlyContinue
    if ($null -eq $azureADUser) {
        $azureADUser = Get-AzureADUser -Filter "displayName eq '$managedByUsername'" -ErrorAction SilentlyContinue
    }
    
    if ($null -ne $azureADUser) {
        # 添加组所有者
        Add-AzureADGroupOwner -ObjectId $azureADGroup.ObjectId -RefObjectId $azureADUser.ObjectId
        Write-Host "成功为组 '$($azureADGroup.DisplayName)' 添加所有者：$($azureADUser.DisplayName)"
    } else {
        Write-Warning "未找到Azure AD用户：$managedByUsername，组 '$($group.Name)' 同步失败"
    }
}

关键注意事项 #

• 必须在Windows PowerShell 5.1环境下运行脚本，不要用PowerShell 7
• 执行账户需要同时拥有：本地AD的读取权限、Azure AD的组所有者管理权限
• 请把脚本中的yourdomain.com替换成你的实际域名
• 如果本地AD的managedBy格式有特殊情况，需要调整$managedByUsername的提取逻辑
• 建议先在测试环境小范围验证脚本，再批量执行

内容的提问来源于stack exchange，提问作者the_Alekhnovich