如何自动移除不在指定OU中的AD组用户？请验证脚本正确性

你之前实现的将指定域内不在目标组的用户加入组的脚本是可行的，但你现在写的反向移除脚本存在明显问题，无法实现“移除组中不在特定OU内的成员”的需求，具体分析和修正如下：

原脚本的问题 #

1. 筛选条件完全错误：$_.DistinguishedName -notlike "*DC=domain,DC=local"这个条件会匹配所有AD对象（因为任何域内对象的DN末尾必然包含域后缀），执行后会尝试移除组内所有成员，这和你的需求完全不符。
2. 未考虑成员类型：Get-ADGroupMember会返回用户、组、计算机三种类型的对象，若不加以筛选，可能误删组或计算机成员。
3. 未处理嵌套组：如果目标组包含嵌套组，Get-ADGroupMember默认不会递归获取嵌套组内的成员，可能遗漏需要移除的对象。

修正后的脚本 #

以下是符合需求的正确脚本，已加入安全测试和类型筛选：

$group = 'CN=Group1,OU=SomeOU,DC=domain,DC=local'
# 替换为你需要保留成员所在的OU完整LDAP路径
$allowedOU = 'OU=TargetOU,DC=domain,DC=local'

# 获取组内所有成员（包含嵌套组内的成员，不需要递归可移除-Recursive）
Get-ADGroupMember -Identity $group -Recursive |
# 筛选出不在指定OU内的用户（如需处理组/计算机可移除ObjectClass条件）
Where-Object {
    $_.ObjectClass -eq 'user' -and
    $_.DistinguishedName -notlike "*$allowedOU*"
} |
# -WhatIf参数用于测试，仅显示操作不实际执行，确认正确后移除该参数
Remove-ADPrincipalGroupMembership -MemberOf $group -WhatIf

关键说明 #

• OU路径准确性：$allowedOU必须是目标OU的完整LDAP路径，这样才能准确识别成员是否属于该OU（或其子OU）。
• 成员类型控制：通过$_.ObjectClass -eq 'user'限定只处理用户成员，避免误操作其他类型对象。
• 安全测试：-WhatIf参数是PowerShell的安全选项，执行时只会输出将要执行的移除操作，不会实际修改AD数据，建议先运行测试确认结果符合预期后，再移除该参数执行实际操作。

内容的提问来源于stack exchange，提问作者a3kop