检查ADGroup用户是否为Azure组成员及自动添加脚本优化咨询

核心优化点 #

• 替换已废弃的AzureAD模块：AzureAD模块官方已停止维护，替换为当前官方推荐的Microsoft Graph PowerShell模块，兼容性和稳定性更好
• 优化成员校验性能：将已有Azure组成员的ObjectID存入哈希表，校验时间复杂度从O(n)降为O(1)，组内成员数量较多时性能提升非常明显
• 减少重复API调用：删除不必要的嵌套循环，提前批量处理用户查询逻辑，避免循环内重复调用Azure接口，大幅降低执行耗时
• 完善错误处理逻辑：补充空值判断、异常捕获逻辑，避免Azure侧不存在对应UPN用户、权限不足等场景下的脚本崩溃
• 优化日志输出：新增用户信息、错误原因的日志打印，方便问题排查
• 参数化配置：将所有硬编码的配置项统一放在脚本头部，后续修改无需调整业务逻辑

优化后完整脚本 #

# ========== 配置项 ==========
$azureGroupId = "0a1068c0-dbb6-4537-9db3-b48f3e31dd76"
$adGroupName = "test_group"
# 所需Graph接口权限：Group.ReadWrite.All、User.Read.All、Directory.Read.All
# ========== 配置结束 ==========

# 连接Microsoft Graph（首次执行需安装模块：Install-Module Microsoft.Graph -Scope CurrentUser）
Connect-MgGraph -Scopes "Group.ReadWrite.All","User.Read.All"

# 获取Azure组已有成员，存入哈希表加速校验
$existingMembers = Get-MgGroupMember -GroupId $azureGroupId -All | Where-Object {$_.AdditionalProperties.userType -eq 'member'}
$memberHash = @{}
foreach ($m in $existingMembers) {
    $memberHash[$m.Id] = $true
}

# 获取AD组内用户信息
$adUsers = Get-ADGroupMember -Identity $adGroupName | Get-ADUser -Properties UserPrincipalName, Name

# 遍历处理每个用户
foreach ($user in $adUsers) {
    try {
        $upn = $user.UserPrincipalName
        # 跳过UPN为空的异常AD账号
        if ([string]::IsNullOrWhiteSpace($upn)) {
            Write-Host "跳过无效账号：$($user.Name)，无有效UPN"
            continue
        }
        # 查询Azure侧对应用户
        $azureUser = Get-MgUser -UserId $upn -ErrorAction Stop
        # 校验是否已在组内
        if (-not $memberHash.ContainsKey($azureUser.Id)) {
            Add-MgGroupMember -GroupId $azureGroupId -DirectoryObjectId $azureUser.Id
            Write-Host "成功添加用户：$($user.Name)（$upn）到Azure组"
            # 新增到哈希表避免重复判断
            $memberHash[$azureUser.Id] = $true
        }
    }
    catch {
        Write-Host "处理用户$($user.Name)失败：$_"
    }
}

# 断开Graph连接
Disconnect-MgGraph

如果仍需保留原有AzureAD模块的使用，仅需保留逻辑优化部分即可：删除冗余嵌套循环、用哈希表做成员校验、补充错误处理和空值判断。

内容的提问来源于stack exchange，提问作者ak2595