使用PowerShell移除特定OU禁用用户所有AD组身份的问题求助

原代码的核心错误 #

你的脚本存在几处关键问题，导致无输出或无法执行：

• 循环变量误用：在foreach ($user in $DisabledUser)块中，Get-ADUser -Identity $DisabledUser传入的是整个用户集合，而非单个循环对象，应该改为$user。
• 冗余查询与属性缺失：已经通过Select-Object获取了MemberOf属性，无需重复调用Get-ADUser查询组关系；同时Select-Object未包含ObjectId，后续$user.ObjectId会因属性不存在失效。
• 变量名拼写错误：循环组时变量为$Groups，但移除成员时误用了$Groupmembership，无法正确引用组对象。
• 低效属性查询：-Properties *会加载所有AD用户属性，浪费资源，只需指定MemberOf即可满足需求。
• 模拟模式限制：-WhatIf参数仅模拟操作不会实际执行，若需验证逻辑可保留，实际执行时需移除。

修正后的脚本 #

# 获取指定OU中的禁用用户，仅加载必要属性
$DisabledUsers = Get-ADUser -SearchBase "OU=This,OU=Users,OU=Is,DC=A,DC=Test" -Properties MemberOf -Filter { Enabled -eq $false }

foreach ($user in $DisabledUsers) {
    # 遍历用户所属的所有组
    foreach ($group in $user.MemberOf) {
        # 移除用户组成员身份，-WhatIf用于测试，实际执行时删除该参数
        Remove-ADGroupMember -Identity $group -Members $user.DistinguishedName -WhatIf -Confirm:$false
    }
}

排查建议 #

• 验证禁用用户存在性：单独执行Get-ADUser -SearchBase "OU=This,OU=Users,OU=Is,DC=A,DC=Test" -Filter { Enabled -eq $false }，确认是否返回目标用户。
• 检查权限：确保运行脚本的账号拥有读取AD用户信息和修改组成员的权限。
• 移除模拟参数：测试阶段保留-WhatIf，实际执行时删除，添加-Confirm:$false避免交互确认。
• 增加调试输出：在循环中加入Write-Host "处理用户: $($user.UserPrincipalName)，组: $group"，查看脚本是否正确遍历对象。

内容的提问来源于stack exchange，提问作者ri2312