Active Directory用户过期日期设置与查询不一致问题

问题根源 #

Active Directory中所有日期时间属性（包括AccountExpirationDate）均以UTC时间存储，但Get-ADUser返回结果时会自动转换为当前会话的本地时区时间。这就导致你设置的本地时间与AD实际存储的UTC时间存在差异，直接用本地时间字符串或未转换的DateTime对象查询会匹配失败。

另外，AD模块的-Filter参数对日期的解析有严格要求：必须使用符合LDAP标准的ISO 8601格式（yyyyMMddHHmmss.0Z），且需为UTC时间；直接传入本地时间字符串或未处理的DateTime对象无法被正确解析。

解决方法 #

方法1：转换为UTC时间并使用LDAP格式字符串查询 #

先将目标本地时间转换为UTC，再格式化为LDAP要求的ISO 8601格式：

# 转换目标时间为UTC并格式化
$targetLocalTime = Get-Date '12/25/2024 00:05:00'
$targetUtc = $targetLocalTime.ToUniversalTime()
$ldapDate = $targetUtc.ToString("yyyyMMddHHmmss.0Z")

# 使用格式化后的字符串查询
Get-ADUser -Filter "AccountExpirationDate -eq '$ldapDate'" -Credential $CRED

方法2：使用UTC DateTime对象构建Filter #

如果想用DateTime对象查询，需确保传入的是UTC时间，并且使用双引号让PowerShell正确解析变量：

$targetUtc = (Get-Date '12/25/2024 00:05:00').ToUniversalTime()
Get-ADUser -Filter "AccountExpirationDate -eq `$targetUtc" -Credential $CRED

注意：这里用双引号包裹Filter，并用反引号转义$，让PowerShell先解析变量为UTC DateTime对象，再传递给AD模块。

方法3：范围查询（适合不需要精确到秒的场景） #

如果不需要严格匹配到秒，可以查询某个时间范围内的用户，避免因毫秒级差异导致的匹配失败：

# 目标日期的UTC起始和结束时间
$startUtc = (Get-Date '12/25/2024 00:00:00').ToUniversalTime()
$endUtc = $startUtc.AddDays(1)

# 查询当天过期的用户
Get-ADUser -Filter "AccountExpirationDate -ge `$startUtc -and AccountExpirationDate -lt `$endUtc" -Credential $CRED -Properties AccountExpirationDate

验证存储的原始UTC时间 #

可以通过Get-ADObject直接查看AD存储的原始UTC时间（以FileTime格式显示），转换后确认：

Get-ADObject -Identity testaccount -Properties accountExpires | Select-Object @{Name='AccountExpirationUtc'; Expression={[DateTime]::FromFileTime($_.accountExpires).ToUniversalTime()}}

内容的提问来源于stack exchange，提问作者Systemspoet