如何比对本地AD组与Azure AD组移除差异成员及脚本报错处理

• 参数顺序错误：Remove-AzureADGroupMember 命令的第一个位置参数为目标Azure AD组的ObjectId，你错误将待删除用户列表作为首参数传入，触发参数不匹配报错。
• 对象类型不匹配：Compare-Object 输出的$RemoveUsers是携带UserPrincipalName和SideIndicator属性的自定义对象，既不是命令要求的组ID，也没有后续需要的用户ObjectId属性。
• 逻辑与变量错误：修改后的脚本中$MembersOfGroup1属于未定义变量，且未对$RemoveUsers中的用户逐个遍历匹配，直接传入数组无法正常命中目标用户。

前置要求：运行前需确保已安装AzureAD模块，执行Connect-AzureAD完成Azure租户登录，且本地AD PowerShell模块可正常调用。

完整脚本如下：

# 1. 获取目标Azure AD组信息及全量成员
$targetAzureGroup = Get-AzureADGroup -SearchString "Test_Group" | Select-Object -First 1 ObjectId
# 成员超过100时请添加 -All $true 参数
$azureGroupMembers = Get-AzureADGroupMember -ObjectId $targetAzureGroup.ObjectId | Select-Object UserPrincipalName, ObjectId

# 2. 获取本地AD组的成员UPN列表
$localGroupMembers = Get-ADGroupMember "Groupe_A" | Get-ADUser -Properties UserPrincipalName | Select-Object -ExpandProperty UserPrincipalName

# 3. 筛选仅存在于Azure AD组的待移除用户
$usersToRemove = $azureGroupMembers | Where-Object { $_.UserPrincipalName -notin $localGroupMembers }

# 4. 批量执行移除操作
foreach ($user in $usersToRemove) {
    Write-Host "移除用户：$($user.UserPrincipalName)"
    Remove-AzureADGroupMember -ObjectId $targetAzureGroup.ObjectId -MemberId $user.ObjectId
}

注意事项 #

• 执行移除操作前可先打印$usersToRemove列表，确认待移除用户无误后再执行删除，避免误操作
• 若已切换使用Microsoft Graph模块，替换对应cmdlet即可，比对逻辑完全一致

内容的提问来源于stack exchange，提问作者ak2595