PowerShell需求：从指定权限组的嵌套用户组移除批量用户

原脚本的核心问题 #

• Get-ADGroupMember $user.group | Get-ADGroup会读取权限组的所有成员，但成员里可能包含用户对象，Get-ADGroup无法识别用户对象，直接报错导致$group变量为空，这就是你看到的第一个错误。
• 移除成员时写错了变量名：用了$users.username，但循环里的单条用户记录变量是$user，应该写$user.username，加上前面$group为空，就触发了第二个参数无效的错误。
• 没处理嵌套组的递归遍历，原脚本只取了权限组的直接成员，没深入到你提到的最多6层嵌套结构里。

修正后的脚本 #

# 导入用户-权限组关联列表
$userGroupPairs = Import-Csv .\usersfromgroups.csv

# 遍历每一条用户需要移除权限的记录
foreach ($pair in $userGroupPairs) {
    $targetUser = $pair.username
    $domainLocalGroup = $pair.group

    try {
        # 递归获取权限组下所有嵌套的Global作用域组（默认深度足够覆盖6层嵌套）
        $globalGroups = Get-ADGroupMember -Identity $domainLocalGroup -Recursive | 
                        Where-Object { $_.objectClass -eq 'group' -and $_.groupScope -eq 'Global' } |
                        Get-ADGroup -Properties members

        # 逐个检查Global组，确认用户在组内后执行移除
        foreach ($globalGroup in $globalGroups) {
            $userDN = (Get-ADUser $targetUser).DistinguishedName
            if ($globalGroup.members -contains $userDN) {
                Remove-ADGroupMember -Identity $globalGroup -Members $targetUser -Confirm:$false
                Write-Host "已将用户 $targetUser 从全局组 $($globalGroup.Name) 中移除"
            }
        }
    }
    catch {
        Write-Warning "处理用户 $targetUser 和权限组 $domainLocalGroup 时出错: $_"
    }
}

关键细节说明 #

• 用-Recursive参数直接递归遍历所有嵌套成员，AD默认的递归深度足够覆盖你提到的6层嵌套需求。
• 先筛选objectClass为group的对象，再锁定Global作用域的组，彻底避开用户对象，解决原脚本里Get-ADGroup找不到对象的错误。
• 先验证用户是否在目标组内再执行移除操作，避免无意义的无效调用。
• 加入try-catch捕获异常，就算某条记录（比如用户或组不存在）出错，脚本也会继续处理后续条目，不会直接崩溃。
• 测试阶段可以在Remove-ADGroupMember后加-WhatIf参数，先预览操作内容，确认没问题再去掉-WhatIf执行实际移除。

内容的提问来源于stack exchange，提问作者razumny