解决Powershell将Active Directory账号加入组的变量调用报错问题

• AD身份匹配规则不匹配：Add-ADGroupMember的-Members参数传入字符串时，默认优先匹配用户的sAMAccountName属性，你构造的$ad_username为「名.姓」格式，如果创建用户时没有将sAMAccountName设置为该格式，就会触发身份找不到的报错。
• 新建对象同步延迟：刚创建的AD用户存在域控制器同步延迟，直接用字符串查询可能暂时无法命中已创建的对象。
• 附带问题：你代码中拉取组列表的Get-ADGroup过滤语句使用了单引号包裹查询条件，单引号内的$store_groupinitials变量不会被PowerShell解析，会导致组列表拉取结果不符合预期。

修改逻辑为创建用户时直接获取AD用户对象，或加组前先主动查询AD获取用户对象后再传入加组命令，修改后的参考代码如下：

$firstname = Read-Host "Enter user's first name"
$lastname = Read-Host "Enter users's last name"

$firstname_lowercase = $firstname.ToLower()
$lastname_lowercase = $lastname.ToLower()
$ad_username = ($firstname_lowercase + "." + $lastname_lowercase)

# ===== 新增：创建用户后先查询获取用户对象 =====
# 更推荐的写法：New-ADUser时加-PassThru参数直接获取对象，不需要额外查询，示例：
# $newUser = New-ADUser -Name "$firstname $lastname" -SamAccountName $ad_username -UserPrincipalName "$ad_username@hq.domainhere.com" -Path "OU=目标OU,DC=hq,DC=domainhere,DC=com" -Enabled $true -PassThru
# 不修改创建逻辑的情况下用以下语句查询：
$newUser = Get-ADUser -Filter "SamAccountName -eq '$ad_username'"
if (-not $newUser) {
    Write-Error "未找到AD用户 $ad_username，请确认用户已创建完成"
    exit
}

$ad_continue = Read-Host "Would you like to add the user to a Active Directory store group? (y/n)"
while ($ad_continue -eq "y") {
    Write-Host "Please enter the group name you would like to add the user to:"
    # 修复：单引号改双引号，让变量可以正常解析
    Get-ADGroup -Filter "Name -like '$store_groupinitials'" | Select -ExpandProperty Name
    echo ""
    $adgroup_add = Read-Host "Please enter the group name you would like to add the user to"
    # 修复：直接传入用户对象，不需要二次身份匹配
    Add-ADGroupMember -Identity $adgroup_add -Members $newUser
    $ad_continue = Read-Host "Would you like to add user to another group? (y/n)"
}

如果修改后仍有问题，可以先在加组前执行$newUser输出用户对象信息，确认对象已正确获取，同时确认执行脚本的账号有对应组的成员修改权限。

内容的提问来源于stack exchange，提问作者tastyburps