如何基于samaccountname验证AD中普通用户是否拥有ADM账户

需求：检查Active Directory（AD）中的普通用户是否拥有对应的管理员账户。例如，普通用户Joe Smith的samaccountname为SmithJ，需确认AD中是否存在ADMSmithJ这个管理员账户。

原代码存在的问题 #

你提供的代码有几处需要修正的地方：

• 字符串拼接语法错误："adm"$samaccountname? 的写法不正确，无法正确构造管理员账户名
• Get-ADUser 默认不会抛出终止错误，导致Try/Catch块无法捕获"用户不存在"的情况
• 定义的$AdUser变量未实际使用

修正后的PowerShell代码 #

$samAccountName = Read-Host "请输入用户的samaccountname"

# 先校验普通用户是否存在于AD中
if (-not (Get-ADUser -Filter "samaccountname -eq '$samAccountName'" -ErrorAction SilentlyContinue)) {
    Write-Host "普通用户 $samAccountName 在AD中不存在"
    exit
}

# 构造对应的管理员账户名（前缀为ADM，与示例格式一致）
$adminSamAccountName = "ADM$samAccountName"

try {
    # 尝试获取管理员账户，指定ErrorAction Stop触发终止错误
    $adminUser = Get-ADUser -Identity $adminSamAccountName -ErrorAction Stop
    Write-Host "用户 $samAccountName 存在对应的管理员账户：$adminSamAccountName"
}
catch [Microsoft.ActiveDirectory.Management.ADIdentityNotFoundException] {
    Write-Host "用户 $samAccountName 没有对应的管理员（ADM）账户"
}
catch {
    Write-Host "检查过程中发生未知错误：$_"
}

代码说明 #

1. 先验证输入的普通用户是否存在，避免后续基于错误的账户名做无效检查
2. 按照示例格式拼接管理员账户名（ADM前缀+普通用户samaccountname）
3. 通过-ErrorAction Stop强制Get-ADUser在找不到账户时抛出终止错误，确保能进入Catch块
4. 针对AD特有的"用户不存在"异常做单独处理，同时保留通用异常捕获处理其他意外情况

内容的提问来源于stack exchange，提问作者ak2595