依赖RSAT AD工具的AD用户组成员检查脚本如何配置为GPO运行

核心问题说明 #

你现有脚本依赖RSAT的Active Directory模块，而普通域客户端默认未安装该组件，直接部署为GPO脚本会执行失败，有两套解决方案可选： #

方案1：重写脚本移除RSAT依赖（优先推荐） #

利用Windows系统自带的身份认证类本地校验用户组隶属关系，不需要调用AD接口，完全无额外依赖，兼容所有域内Windows设备，优化后的代码如下：

###########################################################################################
# 检查AD组隶属关系（无RSAT依赖版本）
###########################################################################################
# 替换为你实际的域名和需要校验的AD组名
$targetDomain = "你的域名"
$targetGroup = "FM-TMASQLUserAccess"

# 获取当前登录用户的身份信息
$currentIdentity = [Security.Principal.WindowsIdentity]::GetCurrent()
# 将目标组名转换为SID用于匹配
$groupSID = (New-Object Security.Principal.NTAccount($targetDomain, $targetGroup)).Translate([Security.Principal.SecurityIdentifier]).Value

# 校验组隶属关系
if ($currentIdentity.Groups.Value -contains $groupSID) {
    Write-Output "$env:UserName 是 $targetGroup 组的成员"
    # 此处填写匹配成功后需要执行的脚本逻辑
}
else {
    Write-Output "$env:UserName 不是 $targetGroup 组的成员"
    # 此处填写匹配失败后需要执行的脚本逻辑
}

方案2：保留原脚本的部署方法（不推荐） #

如果必须使用原有依赖AD模块的脚本，需要先完成前置配置：

• 给所有需要运行脚本的客户端部署RSAT Active Directory模块，可以通过计算机GPO调用dism /online /add-capability /capabilityname:Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0命令安装，必须用计算机上下文执行安装操作
• 修正原脚本的语法错误：原代码中Get-ADGroupMember行末尾的减号后换行不符合PowerShell语法，需删除多余换行

GPO通用部署步骤 #

上述两个方案的脚本都可以按照以下步骤配置为GPO运行：

• 打开组策略管理控制台，新建或编辑目标GPO
• 由于需要校验当前登录用户的组隶属关系，推荐使用用户登录脚本配置：定位到用户配置\策略\Windows设置\脚本(登录/注销)\登录，切换到PowerShell脚本标签
• 将编写好的ps1脚本上传到GPO对应的脚本存储目录，添加为登录脚本
• 按需调整PowerShell执行策略：如果脚本未数字签名，可以将执行策略设置为允许运行未签名脚本，生产环境建议对脚本签名提高安全性
• 将GPO链接到对应用户或计算机所在OU，配置安全过滤范围后测试生效即可

内容的提问来源于stack exchange，提问作者Justin E