PowerShell New-ADUser的Instance参数未生效 无法完整复制AD模板用户配置

New-ADUser的-Instance参数本身设计就不支持完整复刻ADUC（Active Directory用户和计算机）控制台右键复制用户的效果：

• 首先你的模板用户获取方式存在问题：默认执行Get-ADUser仅会返回10个左右的核心用户属性，你最初的代码$userInstance = Get-ADUser -Identity $department User还存在语法错误（Identity参数后多余空格分隔的User字段），实际拿到的$userInstance本身就不包含模板账号的大部分配置。
• 就算你正确获取了模板用户的全量属性，-Instance参数也仅能复制用户对象自身的可写基础属性，完全不会处理组成员身份、对象级访问权限、主目录/漫游配置/登录脚本/终端服务这类关联配置、Exchange/Lync等扩展Schema属性。
• 你创建用户时显式传入的City、Company、Department、State等参数优先级高于-Instance中的同名属性值，会直接覆盖Instance里的对应配置，进一步造成“Instance参数完全无效”的现象。

没有内置cmdlet可以一键实现ADUC右键复制的全量效果，需要按模块分步实现，以下是可直接复用的逻辑：

1. 正确获取模板用户全属性 #

执行时替换为你实际的模板账号标识（SamAccountName/DN/SID均可）：

$templateUser = Get-ADUser -Identity "模板账号标识" -Properties *

2. 基于模板实例创建新用户 #

先清空模板实例中的唯一标识属性，避免对象冲突，再创建用户：

# 克隆模板实例，清空唯一字段
$newUserInstance = $templateUser
$uniqueProps = @("DistinguishedName","SamAccountName","UserPrincipalName","ObjectSID","ObjectGUID","Name","DisplayName","GivenName","Surname","EmailAddress","EmployeeID")
foreach ($prop in $uniqueProps) {
    $newUserInstance.$prop = $null
}

# 创建新用户，显式传入的参数会覆盖实例中的同名值
New-ADUser `
    -Instance $newUserInstance `
    -SamAccountName $userName `
    -UserPrincipalName "$userName@123.COM" `
    -Name "$firstName $lastName" `
    -GivenName $firstName `
    -Surname $lastName `
    -Enabled $true `
    -DisplayName "$firstName $lastName" `
    -City $city `
    -PostalCode $zip `
    -Company $company `
    -State $state `
    -EmailAddress $email `
    -Department $department `
    -AccountPassword (ConvertTo-SecureString "1234" -AsPlainText -Force) `
    # 自动将新用户放到和模板账号相同的OU
    -Path $templateUser.DistinguishedName.Substring($templateUser.DistinguishedName.IndexOf(","))

3. 复制Instance参数不覆盖的关联配置 #

复制组成员身份 #

$newUser = Get-ADUser -Identity $userName
# 将模板账号所属的所有安全组、通讯组同步给新用户
Get-ADPrincipalGroupMembership -Identity $templateUser | ForEach-Object {
    Add-ADGroupMember -Identity $_ -Members $newUser
}

复制对象级AD权限 #

如果需要同步模板账号上单独配置的ACL权限、委派权限，执行以下代码：

$templateAcl = Get-Acl -Path "AD:$($templateUser.DistinguishedName)"
Set-Acl -Path "AD:$($newUser.DistinguishedName)" -AclObject $templateAcl

特殊扩展配置按需同步 #

如果你的环境用到了主目录、登录脚本、漫游配置、终端服务配置、Exchange扩展属性，直接从$templateUser读取对应属性值，通过Set-ADUser赋值给新用户即可，常见需要同步的属性包括HomeDirectory、HomeDrive、ScriptPath、TsProfilePath、msExch*类扩展属性。

注意：如果不需要自定义City、Company这类基础属性，创建用户时不要显式传入这些参数，直接用Instance里从模板继承的值即可，避免手动传参覆盖模板配置。

内容的提问来源于stack exchange，提问作者RankinJ