未安装Active Directory模块时如何用Powershell提取PC所属OU信息

实现逻辑 #

• 依赖Windows系统自带的GPResult命令获取设备的完整LDAP可分辨名称（DN），无需额外安装AD模块
• 对返回的DN字符串做分割/正则匹配，直接定位第一个OU段，不受OU名称变化影响

实现代码 #

方案1：字符串分割法（可读性更高，易修改） #

# 拉取并过滤设备DN路径
$fullDN = GPResult /r /SCOPE COMPUTER | Select-String 'OU=' | ForEach-Object { $_.Line.Trim() }
# 按逗号拆分DN为独立段
$segments = $fullDN -split ','
# 提取第一个OU开头的段
$targetOU = $segments | Where-Object { $_ -match '^OU=' } | Select-Object -First 1
# 可选：仅提取OU名称，去掉OU=前缀
# $targetOUName = $targetOU -replace '^OU=', ''
# 输出结果
$targetOU

方案2：正则匹配法（更简洁，一行实现） #

$targetOU = GPResult /r /SCOPE COMPUTER | Select-String '(?<=,)(OU=[^,]+)' | ForEach-Object { $_.Matches.Groups[1].Value }

效果验证 #

针对示例DN：

CN=PC-12345,OU=Test Devices,OU=Middle Layer,OU=Top Layer,OU=Equipment,DC=Test,DC=Lab
两种方案均会直接返回OU=Test Devices，如果使用可选的前缀去除步骤，会返回纯名称Test Devices

注意事项 #

• 脚本运行仅需普通用户权限，无需管理员权限
• 若返回结果为空，请确认当前设备已加入域，且组策略已完成至少一次正常同步

内容的提问来源于stack exchange，提问作者Sam Wheeldon