通过Python执行PowerShell AD命令报错，请求排查问题原因

问题场景 #

我通过Python调用PowerShell执行Active Directory相关命令，代码如下：

sid = utils.execute_powershell(settings.D01_DC1_PORT,
                               settings.D01_USER,
                               settings.PASSWORD,
                               '(Get-ADForest).Domains | '
                               '%{Get-ADDomain -Server $_}| '
                               'select domainsid')

端口、用户名、密码均有效，直接在PowerShell中运行该脚本可正常获取结果，但通过Python执行时却报错：
'Unable to contact the server. This may be because this server does not exist, it is currently down, or it does not have the Active Directory Web Services running.'

可能的原因及解决办法 #

• 位数不匹配导致模块无法加载：直接运行的PowerShell如果是64位，但你的Python是32位，调用的32位PowerShell可能没有AD模块（部分环境下AD模块仅在64位PowerShell中可用）。解决办法：要么切换到64位Python，要么在调用时指定64位PowerShell的完整路径（C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe）。
• 未显式加载AD模块：直接运行PowerShell时可能自动加载了ActiveDirectory模块，但Python启动的PowerShell会话可能没有加载。可以在命令开头添加Import-Module ActiveDirectory; ，确保模块加载后再执行后续逻辑。
• 域名解析失败：Get-ADForest返回的域名在Python进程的网络环境中无法解析，导致Get-ADDomain -Server $_找不到服务器。可以尝试将域名替换为DC服务器的具体IP或可解析的FQDN，比如Get-ADDomain -Server dc01.contoso.com。
• 凭据未在所有步骤生效：虽然传入了用户名密码，但utils.execute_powershell可能仅在启动会话时用了凭据，后续Get-ADDomain调用没有继承。可以在PowerShell命令中显式创建凭据并在每个AD cmdlet中指定：

$securePwd = ConvertTo-SecureString "{password}" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("{username}", $securePwd)
(Get-ADForest -Credential $cred).Domains | %{Get-ADDomain -Server $_ -Credential $cred} | select domainsid

然后将{username}和{password}替换为实际参数传入Python。

• 端口参数错误：ADWS（Active Directory Web Services）默认端口是5985（HTTP）或5986（HTTPS），确认settings.D01_DC1_PORT是否为ADWS的端口，而非LDAP的389或其他端口。

内容的提问来源于stack exchange，提问作者Tal Angel