Get-ADUser -Filter使用变量属性失效问题求助

核心问题原因 #

你代码里的Get-aduser -Filter "EmailAddress -eq '$mb.PrimarySmtpAddress'"存在语法问题：单引号包裹的$mb.PrimarySmtpAddress不会被PowerShell解析为实际的邮箱地址值，而是直接作为字符串$mb.PrimarySmtpAddress传递给Filter，导致AD查询不到匹配的用户。

修正后的基础查询代码 #

可以用两种方式修正Filter的写法：

方式1：使用子表达式解析属性值 #

通过$()在双引号字符串里解析对象属性：

$DisabledMailboxes = Get-Mailbox | Where-Object {
    $_.RecipientTypeDetails -eq 'UserMailbox' -and $_.AccountDisabled -eq $true
} | Select-Object UserPrincipalName, PrimarySmtpAddress, RecipientTypeDetails

foreach ($mb in $DisabledMailboxes) {
    # 用子表达式$()解析属性值
    $users = Get-ADUser -Filter "EmailAddress -eq '$($mb.PrimarySmtpAddress)'" |
             Select-Object Name, SamAccountName, UserPrincipalName
}

方式2：使用哈希表格式的Filter（更推荐，避免引号嵌套问题） #

PowerShell的AD cmdlet支持用哈希表作为Filter，语法更清晰且不易出错：

$DisabledMailboxes = Get-Mailbox | Where-Object {
    $_.RecipientTypeDetails -eq 'UserMailbox' -and $_.AccountDisabled -eq $true
} | Select-Object UserPrincipalName, PrimarySmtpAddress, RecipientTypeDetails

foreach ($mb in $DisabledMailboxes) {
    # 哈希表格式的Filter
    $users = Get-ADUser -Filter @{ EmailAddress = $mb.PrimarySmtpAddress } |
             Select-Object Name, SamAccountName, UserPrincipalName
}

完整需求实现代码（含组检查与移动） #

结合你要完成的4个步骤，以下是完整的可运行代码，包含错误处理（比如找不到AD用户的情况）：

# 1. 获取O365中所有禁用的用户邮箱
$DisabledMailboxes = Get-Mailbox | Where-Object {
    $_.RecipientTypeDetails -eq 'UserMailbox' -and $_.AccountDisabled -eq $true
} | Select-Object UserPrincipalName, PrimarySmtpAddress, RecipientTypeDetails

# 定义目标组信息
$sourceGroupName = "原特定组名称"
$targetGroupName = "目标组名称"

# 预先获取组对象，避免循环中重复查询提升效率
$sourceGroup = Get-ADGroup -Filter "Name -eq '$sourceGroupName'"
$targetGroup = Get-ADGroup -Filter "Name -eq '$targetGroupName'"

foreach ($mb in $DisabledMailboxes) {
    # 2. 根据邮箱地址查找本地AD用户
    $adUser = Get-ADUser -Filter @{ EmailAddress = $mb.PrimarySmtpAddress } -Properties MemberOf

    if (-not $adUser) {
        Write-Warning "未找到AD用户匹配邮箱: $($mb.PrimarySmtpAddress)"
        continue
    }

    # 3. 检查用户是否属于特定组
    $isInSourceGroup = $adUser.MemberOf -contains $sourceGroup.DistinguishedName

    if ($isInSourceGroup) {
        # 4. 移出原组并加入目标组
        Remove-ADGroupMember -Identity $sourceGroup -Members $adUser -Confirm:$false
        Add-ADGroupMember -Identity $targetGroup -Members $adUser -Confirm:$false
        Write-Host "已将用户 $($adUser.Name) 从 $sourceGroupName 移动到 $targetGroupName"
    } else {
        Write-Host "用户 $($adUser.Name) 不属于 $sourceGroupName，无需操作"
    }
}

额外优化建议 #

• 预先获取组对象：避免在循环中重复调用Get-ADGroup，提升脚本运行效率
• 添加错误处理：用-ErrorAction SilentlyContinue或者try/catch处理可能的AD查询错误
• 批量处理：如果禁用邮箱数量较多，可以考虑批量查询AD用户，减少单次查询的次数

内容的提问来源于stack exchange，提问作者TDx2