PowerShell使用用户输入凭据查询AD时报凭据错误问题咨询

我正在为IT服务台团队开发一款基础脚本，用于查询AD（活动目录）判断指定计算机的主机名是否已加入域。为实现无额外模块依赖、可在任意Windows计算机上直接运行的需求，我采用了DirectoryServices类完成相关逻辑开发。
根据公司编码规范要求，脚本中禁止预定义凭据，因此我需要实现凭据由用户运行脚本时手动输入的功能。但测试过程中发现，仅当凭据在脚本中预定义时脚本可正常运行，使用用户输入的凭据时会抛出如下错误：

调用“FindAll”（带有“0”个参数）时出现异常：“用户名或密码不正确。”

以下是原脚本脱敏版本：

$username = read-host 'Enter username' 
$password = read-host 'Enter password' -AsSecureString
$hostname = hostname

Write-Host "Checking if $hostname is on the domain..."
$filter = "(&(ObjectCategory=computer)(Name=$hostname))"
$de = New-Object DirectoryServices.DirectoryEntry("LDAP://contoso.com/DC=contoso,DC=onmicrosoft,DC=com",$username,$password)
$ds = New-Object DirectoryServices.DirectorySearcher $de
$ds.filter = $filter
$ds.findall() |
ForEach-Object -Begin {} -Process{$_.properties.item(“Name”)} -End { [string]$ds.FindAll().Count } | Out-Null
  if ($ds.FindAll().Count)
    {
        Write-Host "true"
    }
  else
    {
        Write-Host "false"
    }

核心疑问：该场景下是否支持使用用户自定义输入的凭据完成AD查询，还是必须在脚本中预先定义凭据？

该场景完全支持运行时由用户手动输入凭据完成AD查询，不需要在脚本中预定义硬编码凭据，报错是参数使用错误导致的，具体原因和修正方案如下：

• 核心错误为用户名格式不符合要求：DirectoryEntry类的LDAP绑定逻辑不会自动补全域名后缀，如果你输入的是不带域信息的裸用户名（比如zhangsan），认证逻辑会默认匹配本地计算机账户库，而非域账户库，自然会返回用户名密码错误。合法的用户名格式需要为域NetBIOS名\用户名（例如CONTOSO\zhangsan），或者用户UPN格式（例如zhangsan@contoso.com）。
• 你通过Read-Host -AsSecureString读取到的SecureString类型密码可以直接被DirectoryEntry构造函数识别，这部分逻辑没有问题，不需要额外转换为明文。
• 原脚本存在冗余逻辑缺陷：多次重复调用FindAll()会产生不必要的AD请求，且没有做异常捕获和资源释放，遇到认证失败会直接抛出未处理的终止错误。

修正后可运行脚本（命令行输入凭据版） #

# 明确提示用户输入符合格式要求的域账号
$username = Read-Host 'Enter username (format: DOMAIN\username or username@contoso.com)' 
$password = Read-Host 'Enter password' -AsSecureString
$hostname = hostname

Write-Host "Checking if $hostname is on the domain..."
$filter = "(&(ObjectCategory=computer)(Name=$hostname))"
$de = New-Object DirectoryServices.DirectoryEntry("LDAP://contoso.com/DC=contoso,DC=onmicrosoft,DC=com",$username,$password)
$ds = New-Object DirectoryServices.DirectorySearcher $de
$ds.filter = $filter

try {
    # 仅执行一次AD查询，避免重复请求
    $result = $ds.FindAll()
    if ($result.Count -gt 0) {
        Write-Host "true"
    } else {
        Write-Host "false"
    }
}
catch {
    Write-Host "AD查询失败，请检查输入的账号格式、密码以及账号权限：$($_.Exception.Message)"
}
finally {
    # 释放AD相关对象资源，避免内存泄漏
    $de.Dispose()
    $ds.Dispose()
    if ($result) { $result.Dispose() }
}

优化方案（系统原生凭据弹窗） #

如果不需要纯命令行输入，可以直接调用Get-Credential弹出Windows系统原生的凭据输入窗口，用户体验更好，不需要额外提示用户名格式，拿到的凭据对象可以直接传入使用：

# 弹出系统凭据输入框
$cred = Get-Credential -Message "请输入有权限查询AD的域账号"
$de = New-Object DirectoryServices.DirectoryEntry("LDAP://contoso.com/DC=contoso,DC=onmicrosoft,DC=com",$cred.UserName,$cred.Password)

只要用户输入的账号格式正确、拥有AD计算机对象的读取权限（普通域用户默认就有该权限），脚本就可以正常运行，完全符合公司禁止硬编码凭据的编码规范要求。

内容的提问来源于stack exchange，提问作者shawneff_