对比AD与SQL查询结果逻辑异常，如何禁用目标Active Directory用户

核心问题 #

1. Compare-Object对比逻辑完全颠倒：你将$SQL作为第一个对比参数（ReferenceObject）、$AD作为第二个（DifferenceObject），此时<=代表仅在SQL列表中存在的项，这就是为什么你会拿到所有SQL返回的用户，完全不符合「SQL非活跃且AD活跃」的筛选需求。
2. AD查询未过滤活跃用户：原代码拉取了所有AD用户（含已禁用的），既浪费资源，还可能导致误操作。
3. SQL查询条件错误：users.id LIKE 'I'只会匹配ID完全等于'I'的用户，大概率应该是LIKE 'I%'（匹配以I开头的员工号），否则根本拉不到有效非活跃用户列表。

修复后的代码 #

# 1. 获取AD中**活跃**用户的员工编号
$ADActiveUsers = Get-ADUser -Filter { Enabled -eq $true } -Properties EmployeeNumber | 
    Select-Object EmployeeNumber

# 2. 获取第三方应用中的非活跃用户员工编号（修正LIKE匹配规则）
$SQLInactiveUsers = Invoke-SqlCmd -Query @"
SELECT users.id AS EmployeeNumber
FROM table
WHERE users.id LIKE 'I%' -- 请根据实际员工号规则调整匹配逻辑
"@ -Database "TestDatabase" -Server "TestServer" | 
    Select-Object EmployeeNumber

# 3. 筛选目标用户：AD活跃且在SQL非活跃列表中的员工
$UsersToDisable = $ADActiveUsers | 
    Where-Object { $SQLInactiveUsers.EmployeeNumber -contains $_.EmployeeNumber }

# 4. 执行禁用操作（增加验证避免报错）
foreach ($user in $UsersToDisable) {
    $adUser = Get-ADUser -Filter { EmployeeNumber -eq $user.EmployeeNumber } -Properties Enabled
    if ($adUser -and $adUser.Enabled) {
        Write-Host "禁用用户：$($adUser.Name)（员工号：$($user.EmployeeNumber)）"
        Disable-ADAccount -Identity $adUser
    }
}

关键修正说明 #

• 精准过滤AD用户：通过-Filter { Enabled -eq $true }只拉取当前活跃的AD用户，减少无效数据。
• 简化对比逻辑：用Where-Object结合-contains直接匹配需求，比Compare-Object更直观，避免参数顺序导致的逻辑混乱。
• 修正SQL查询规则：调整LIKE条件确保能正确拉取非活跃用户列表，需根据实际员工号格式微调。
• 增加安全验证：禁用前先确认用户存在且仍处于活跃状态，避免因员工号无效或用户已禁用导致的报错。

内容的提问来源于stack exchange，提问作者user21166666