请求审核PowerShell脚本：自动添加未加入AD组的用户

你的脚本逻辑方向没问题，但在效率、准确性和健壮性上还有优化空间，具体问题和改进方案如下：

现有代码的问题 #

• 效率低下：Get-ADUser -Filter *会拉取域内所有用户，在用户量较大的域环境里会占用大量资源，返回不必要的数据。
• 未考虑嵌套组成员：MemberOf属性仅显示用户直接加入的组，如果用户是通过嵌套组间接成为目标组成员的，脚本会误将其判定为非成员重复添加。
• 缺少错误处理：如果遇到组不存在、用户已被删除、权限不足等情况，脚本会直接报错中断，没有容错机制。
• 无日志记录：运行后无法追溯哪些用户被添加，出现问题难以排查。
• 逐个添加效率低：ForEach-Object逐个调用Add-ADGroupMember，不如批量添加高效。

优化后的脚本 #

# 目标组的DN
$targetGroupDN = 'CN=Group1,OU=SomeOU,DC=domain,DC=local'
# 日志文件路径，根据实际修改
$logPath = "C:\ADGroupSync\GroupSync_$(Get-Date -Format 'yyyyMMdd_HHmmss').log"

try {
    # 先验证目标组是否存在
    $targetGroup = Get-ADGroup -Identity $targetGroupDN -ErrorAction Stop
    Write-Output "[$(Get-Date)] 找到目标组: $($targetGroup.Name)" | Out-File -FilePath $logPath -Append

    # 使用LDAP Filter直接筛选：域内所有启用的用户，且不是目标组的直接/间接成员
    $ldapFilter = "(&(objectCategory=person)(objectClass=user)(!memberOf:1.2.840.113556.1.4.1941:=$targetGroupDN))"
    $usersToAdd = Get-ADUser -LDAPFilter $ldapFilter -SearchBase "DC=domain,DC=local" -ErrorAction Stop

    if ($usersToAdd.Count -eq 0) {
        Write-Output "[$(Get-Date)] 没有需要添加的用户" | Out-File -FilePath $logPath -Append
        exit 0
    }

    Write-Output "[$(Get-Date)] 找到 $($usersToAdd.Count) 个需要添加的用户：$($usersToAdd.Name -join ', ')" | Out-File -FilePath $logPath -Append

    # 批量添加用户到组，使用-WhatIf参数先测试，确认无误后移除
    Add-ADGroupMember -Identity $targetGroupDN -Members $usersToAdd -WhatIf -ErrorAction Stop
    Write-Output "[$(Get-Date)] 已成功添加用户到目标组" | Out-File -FilePath $logPath -Append
}
catch {
    Write-Output "[$(Get-Date)] 执行出错：$($_.Exception.Message)" | Out-File -FilePath $logPath -Append
    throw $_
}

关键优化点说明 #

• LDAP Filter优化：使用memberOf:1.2.840.113556.1.4.1941:这个LDAP扩展匹配规则，可以直接筛选出不是目标组直接或间接成员的用户，避免重复添加嵌套组成员。
• 批量操作：直接将用户集合传给Add-ADGroupMember，减少API调用次数，提升效率。
• 错误处理：通过try/catch捕获异常并记录日志，避免脚本意外中断。
• 日志记录：每次运行生成带时间戳的日志，方便后续排查。
• 前置验证：先确认目标组存在，避免无效操作。

定时任务设置注意事项 #

1. 运行账号权限：需要使用具备以下权限的域账号：
   • 读取域内用户信息的权限
   • 向目标组添加成员的权限
2. 触发器配置：根据需求设置运行频率（比如每天凌晨2点），注意避开域控制器的高峰时段。
3. 运行方式：选择「不管用户是否登录都要运行」，并勾选「最高权限运行」（确保权限足够）。
4. 测试建议：先在测试环境用-WhatIf参数验证脚本逻辑，确认无误后再移除该参数正式运行。

内容的提问来源于stack exchange，提问作者a3kop