如何通过管理者UPN使用Get-ADUser获取对应AD用户对象

你之前的写法有两个致命错误：

• Get-ADUser默认的身份标识参数只接受SAM账号名、可分辨名称(DN)、GUID、SID这类值，直接传完整UPN（邮箱地址）是查不到对应用户的
• 你把-replace写在了Get-ADUser调用的外层，这个操作是对cmdlet返回的结果做字符串替换，根本不会修改传入的查询参数，而且硬编码替换@email.com的逻辑容错性极差，只要表单里的邮箱后缀和你写的不一致就会失效。

不要手动截断邮箱前缀，直接通过AD的UserPrincipalName属性做精确匹配查询，是最稳妥不会出错的方案，代码如下：

# 读取表单里的管理者邮箱，先做去空格和空值校验
$managerUpn = $User.Manager.Trim()
if ([string]::IsNullOrWhiteSpace($managerUpn)) {
    Write-Warning "当前记录未填写管理者邮箱，跳过管理者属性配置"
    return # 或者按你的业务逻辑做对应处理
}

# 按UPN精确查询AD中的管理者账号
$Manager = Get-ADUser -Filter "UserPrincipalName -eq '$managerUpn'"
if (-not $Manager) {
    throw "AD中不存在UPN为[$managerUpn]的用户，请核对表单填写的管理者邮箱是否正确"
}

# 给待处理账号设置Manager属性，直接传查询到的用户对象即可，Set-ADUser会自动识别DN值
Set-ADUser -Identity $待处理目标账号的标识（可以是SAM账号/UPN/DN/SID） -Manager $Manager

• 如果你的表单里填的邮箱实际是存在AD用户的mail属性（对外邮箱地址）而非UPN，只需要把上面Filter里的UserPrincipalName替换成mail即可，查询逻辑不变
• 禁止用截断邮箱后缀取账号名的写法：很多企业环境下UPN前缀和用户登录的SAM账号名并不完全一致，硬截断匹配非常容易匹配到错误的账号，导致权限配置错误
• 必须加查询结果校验：表单数据可能存在拼写错误、填错邮箱的情况，加校验可以快速定位问题，避免脚本运行时抛出无意义的底层报错

内容的提问来源于stack exchange，提问作者Jimmy Lurton