优化Azure AD至本地AD安全组同步的PowerShell脚本求助

我在K-12学区工作，需要把课后活动学生从Azure AD组同步到本地AD安全组，适配门禁系统的非标准时段权限需求（目前门禁课后时段常开）。学区课后活动名单存储于SIS，Azure可拉取名单关联用户，但门禁管理系统仅支持与本地AD同步，因此编写了同步脚本。现有脚本可正常运行但篇幅冗长，作为PowerShell新手，寻求简化方案。

原脚本 #

$VB =  Get-AzureADGroupMember -ObjectId zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz  #volleybally
$SOB = Get-AzureADGroupMember -ObjectId zzzzzzzzzzzzzzzzzzzzzzzzzzzz  #Boys Soccer
$SOG = Get-AzureADGroupMember -ObjectId xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx5  #Girls Soccer
$BG = Get-AzureADGroupMember -ObjectId 7xxxxxxxxxxxxxxxxxxxxxxxxxxx   #Boys Golf
$GG = Get-AzureADGroupMember -ObjectId xxxxxxxxxxxxxxxxxxxxxxxxxxxxx1c   #Girls Golf
$CC = Get-AzureADGroupMember -ObjectId zzzzzzzzzzzzzzzzzzzzzzzzzzzzz  #Cross Country
$FCL = Get-AzureADGroupMember -ObjectId xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx  #Fall Cheerleading
$SDD = Get-AzureADGroupMember -ObjectId xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx #Speech Drama &  Debate


#initiate SG Groups

$SGCC = Get-ADGroup -Identity "sample group 1"
$SGFC = Get-ADGroup -Identity "sample group 2"
$SGFB = Get-ADGroup -Identity "sample group 3"
$SGGO = Get-ADGroup -Identity "sample group 4"
$SGSO = Get-ADGroup -Identity "sample group 5"
$SGVB = Get-ADGroup -Identity "sample group 6"


# convert azure values to AD and add to AD groups

$FB= Foreach($ad in $FB) {
    Get-ADUser ($ad.UserPrincipalName.Split('@')[0])
}

$VB = Foreach($ad in $VB) {
    Get-ADUser ($ad.UserPrincipalName.Split('@')[0])
    # your text
}

$SOB = Foreach($ad in $SOB) {
    Get-ADUser ($ad.UserPrincipalName.Split('@')[0])
}

$SOG = Foreach($ad in $SOG) {
    Get-ADUser ($ad.UserPrincipalName.Split('@')[0])
}

$BG = Foreach($ad in $BG) {
    Get-ADUser ($ad.UserPrincipalName.Split('@')[0])
}

$GG = Foreach($ad in $GG) {
    Get-ADUser ($ad.UserPrincipalName.Split('@')[0])
}
$CC = Foreach($ad in $CC) {
    Get-ADUser ($ad.UserPrincipalName.Split('@')[0])
}

$FCL = Foreach($ad in $FCL) {
    Get-ADUser ($ad.UserPrincipalName.Split('@')[0])
}

$SDD = Foreach($ad in $SDD) {
    Get-ADUser ($ad.UserPrincipalName.Split('@')[0])
}

#### add AD Members to SG

Add-AdGroupMember -Identity $SGFB -Members $FB
# Looking to simplify, To be continued

简化方案 #

核心是用**哈希表（Hashtable）**映射Azure AD组与本地AD组的对应关系，同时封装重复操作成函数，彻底消除冗余代码，提升可维护性。

1. 定义组映射表 #

把所有需要同步的Azure AD组ID和对应的本地AD组名称整理到一个哈希表中，后续维护只需修改这部分内容即可。

2. 封装用户转换逻辑 #

编写函数批量将Azure AD用户转换为本地AD用户对象，避免重复编写foreach循环。

3. 批量同步组 #

遍历映射表，自动完成拉取Azure组成员、转换本地用户、同步到本地组的全流程。

简化后的完整脚本 #

# 1. 定义Azure AD组与本地AD组的映射关系（替换为你的实际组ID和名称）
$groupMappings = @{
    "zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz" = "sample group 6"  # Volleyball -> 对应本地组
    "zzzzzzzzzzzzzzzzzzzzzzzzzzzz"    = "sample group X"  # Boys Soccer -> 对应本地组
    "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx5" = "sample group Y" # Girls Soccer -> 对应本地组
    "7xxxxxxxxxxxxxxxxxxxxxxxxxxx"    = "sample group Z"  # Boys Golf -> 对应本地组
    "xxxxxxxxxxxxxxxxxxxxxxxxxxxx1c"  = "sample group A"  # Girls Golf -> 对应本地组
    "zzzzzzzzzzzzzzzzzzzzzzzzzzzz"    = "sample group 1"  # Cross Country -> SGCC
    "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx" = "sample group 2" # Fall Cheerleading -> SGFC
    "xxxxxxxxxxxxxxxxxxxxxxxxxxxxx"   = "sample group B"  # Speech Drama & Debate -> 对应本地组
}

# 2. 封装转换Azure用户到本地AD用户的函数
function ConvertTo-ADUser {
    param(
        [Parameter(Mandatory, ValueFromPipeline)]
        $AzureADUser
    )
    process {
        # 提取UPN前缀作为本地AD用户名查询
        $samAccountName = $AzureADUser.UserPrincipalName.Split('@')[0]
        Get-ADUser -Filter "SamAccountName -eq '$samAccountName'" -ErrorAction SilentlyContinue
    }
}

# 3. 批量同步每个组
foreach ($azureGroupId in $groupMappings.Keys) {
    $localGroupName = $groupMappings[$azureGroupId]
    
    # 获取本地AD组对象
    $localADGroup = Get-ADGroup -Identity $localGroupName -ErrorAction Stop
    
    # 获取Azure AD组成员并转换为本地AD用户
    $azureMembers = Get-AzureADGroupMember -ObjectId $azureGroupId -ErrorAction Stop
    $localADUsers = $azureMembers | ConvertTo-ADUser
    
    # 可选：清空本地组旧成员（如需完全同步，取消下方注释）
    # Remove-ADGroupMember -Identity $localADGroup -Members (Get-ADGroupMember $localADGroup) -Confirm:$false
    
    # 添加新成员到本地组
    if ($localADUsers) {
        Add-ADGroupMember -Identity $localADGroup -Members $localADUsers -ErrorAction Continue
        Write-Host "已同步 $($azureMembers.Count) 名用户到本地组: $localGroupName"
    } else {
        Write-Host "本地组 $localGroupName 没有需要添加的有效用户"
    }
}

额外优化说明 #

• 错误处理：添加-ErrorAction参数确保脚本遇到问题时给出清晰提示，或跳过错误继续执行。
• 完全同步支持：若需要移除本地组中不在Azure组的旧成员，可取消注释清空组的代码行。
• 可读性与维护性：映射表中保留注释，方便快速对应组的用途，后续新增/修改组只需更新映射表。
• 代码复用：通过哈希表和函数，彻底消除大量重复的变量定义和循环代码，脚本长度大幅缩减。

内容的提问来源于stack exchange，提问作者biohacker_ellie