Get-ADGroupMember在foreach循环中不一致返回组成员问题咨询

• 成员数量超限：Get-ADGroupMember 对返回结果有默认5000条的硬限制，当AD组成员数量超过该阈值时，命令不会抛出异常，只会直接返回空结果。你单独测试的组往往成员数较少可以正常返回，循环遍历到大成员组时就会出现无输出的情况。
• 身份匹配异常：你在首行查询后仅提取了name属性传递给Get-ADGroupMember，该命令优先识别的标识是SID、可分辨名称（DN）、SamAccountName，仅用name匹配时，在多域环境、存在重名组、组名包含特殊转义字符的场景下，会出现匹配失败无返回的问题。
• 权限限制：部分AD组的安全访问控制列表（ACL）限制了当前执行账号的成员读取权限，命令执行时默认不会抛出权限错误，仅返回空结果。

1. 优化参数传递逻辑 #

不要单独提取name属性传递，直接将Get-ADGroup返回的完整对象传给Get-ADGroupMember，避免身份匹配失败：

# 首行不要仅select name，保留完整组对象
$groups = Get-ADGroup -Filter {name -like 'SomeGroup*'} | Sort-Object Name

foreach ($group in $groups){
    Write-Host $group.Name
    # 直接传递组对象，不需要单独提取name字段
    Get-ADGroupMember -Identity $group | Select-Object Name | Sort-Object Name
    Write-Host "`n`n"
}

2. 替代大成员组查询方案 #

如果确认是成员超过5000导致的无返回，改用无数量限制的查询方式替代Get-ADGroupMember：

foreach ($group in $groups){
    Write-Host $group.Name
    # 直接查询组的member属性，再逐个解析成员信息，无5000条限制
    Get-ADGroup -Identity $group -Properties member | Select-Object -ExpandProperty member | ForEach-Object {
        Get-ADObject -Identity $_ -Properties Name | Select-Object Name
    } | Sort-Object Name
    Write-Host "`n`n"
}

3. 增加错误捕获定位问题 #

添加错误捕获逻辑，明确异常原因：

foreach ($group in $groups){
    Write-Host "当前处理组：$($group.Name)"
    try {
        Get-ADGroupMember -Identity $group -ErrorAction Stop | Select-Object Name | Sort-Object Name
    } catch {
        Write-Host "* 读取组成员失败，错误信息：$_"
    }
    Write-Host "`n`n"
}

内容的提问来源于stack exchange，提问作者Dan Owen Lynch