PowerShell自动添加AD安全组的动态办公标识变量替换方案问询

方案1：占位符静态替换（最推荐，无安全风险） #

• 实现逻辑：在角色对应的TXT配置文件中使用固定占位符代替动态变量，脚本读取配置后统一替换占位符为实际值
• 配置文件示例（比如Maintenance Officer.txt内容）：

General_Employee_Group
MaintenanceOfficer_{{OfficeCode}}
Device_Management_Group

• 对应脚本代码：

# 读取当前角色对应的安全组配置
$sgTemplateList = Get-Content -Path ".\$Role.txt"
foreach ($sgTemplate in $sgTemplateList) {
    # 替换占位符为实际办公地点编码
    $targetSG = $sgTemplate -replace "{{OfficeCode}}", $Code
    # 可选：增加安全组存在性校验，避免报错
    if (Get-ADGroup -Filter "Name -eq '$targetSG'" -ErrorAction SilentlyContinue) {
        Add-ADGroupMember -Identity $targetSG -Members $SAN
    } else {
        Write-Warning "安全组 $targetSG 不存在，已跳过加组操作"
    }
}

• 优势：规则简单易上手，IT配置人员无需掌握代码知识，无任意代码执行风险，适配所有场景。

方案2：动态字符串展开（适合可信配置场景） #

• 实现逻辑：直接在TXT配置文件中写$Code变量名，利用PowerShell内置的字符串展开方法动态解析变量
• 配置文件示例：

General_Employee_Group
MaintenanceOfficer_$Code
Device_Management_Group

• 对应脚本代码：

$sgTemplateList = Get-Content -Path ".\$Role.txt"
foreach ($sgTemplate in $sgTemplateList) {
    # 动态展开字符串中的变量
    $targetSG = $ExecutionContext.InvokeCommand.ExpandString($sgTemplate)
    Add-ADGroupMember -Identity $targetSG -Members $SAN
}

• 注意事项：该方法会执行字符串内的所有表达式，需确保只有可信的IT人员有权限修改配置文件，避免恶意代码注入风险。

方案3：结构化配置优化（适合角色规模较大的场景） #

如果后续角色和对应配置项持续增加，可将TXT配置替换为CSV结构化配置，统一管理所有角色的安全组规则，示例CSV结构如下：

脚本读取CSV后按规则拼接安全组名称即可，批量修改配置时效率更高。

内容的提问来源于stack exchange，提问作者Raeb