PowerShell查询Azure AD对象脚本开关参数异常排查咨询

问题2 解决if (-not $found)不生效的问题 #

不生效的核心原因有两个：

1. 进入Switches分支时没有初始化$found变量，特殊场景下变量未定义会导致判断逻辑异常
2. 现有逻辑只要对应开关开启，不管Get-AzAD*命令有没有查到结果，都会直接把$found设为$true，自然永远不会触发找不到的警告

修复后的Switches分支代码参考：

if($PSCmdlet.ParameterSetName -eq 'Switches')
{
    # 分支开头先初始化found变量
    $found = $false

    if ($user.IsPresent) {
        $res = Get-AzADUser -ObjectId $objectID | Select-Object Mail, DisplayName
        if ($res) {
            $res
            $found = $true
        }
    }
    
    if ($group.IsPresent) {
        $res = Get-AzADGroup -ObjectId $objectID | Select-Object DisplayName, Description, Id
        if ($res) {
            $res
            $found = $true
        }
    }
   
    if ($app.IsPresent) { 
        $res1 = Get-AzADApplication -ObjectId $objectID | Select-Object ObjectType, DisplayName, Id, Type, ApplicationId
        $res2 = Get-AzADApplication -ApplicationId $objectID | Select-Object ObjectType, DisplayName, Id, Type, ApplicationId
        $res = @($res1, $res2) | Where-Object { $_ }
        if ($res) {
            $res
            $found = $true
        }
    }
   
    if ($sp.IsPresent) { 
        $res1 = Get-AzADServicePrincipal -ObjectId $objectID | Select-Object ObjectType, DisplayName, Id, Type, ApplicationId
        $res2 = Get-AzADServicePrincipal -ApplicationId $objectID | Select-Object ObjectType, DisplayName, Id, Type, ApplicationId
        $res = @($res1, $res2) | Where-Object { $_ }
        if ($res) {
            $res
            $found = $true
        }
    }

    if (-not $found) { 
        Write-Warning "Not found." 
    }
}

问题1 代码优化建议 #

• 参数校验补全：现在Switches参数集允许用户不传任何查询开关，建议增加校验逻辑，如果进入Switches分支但四个开关全为false，直接提示用户至少选择一个查询范围，避免无意义执行
• 重复逻辑封装：查询应用、服务主体都需要同时匹配ObjectId和ApplicationId，输出字段重合度很高，可以把公共查询、输出逻辑封装成小工具函数，大幅减少重复代码
• 输出格式统一：目前Switches分支用Select-Object输出，全量查询分支用Format-List输出，格式不统一，建议固定统一输出格式，或新增参数让用户自定义输出格式
• 异常捕获补充：Get-AzAD*系列命令在未登录Azure、无权限时会直接抛出原生错误，建议增加try/catch捕获异常，给用户更友好的提示，比如引导先执行Connect-AzAccount登录
• 命名规范优化：$sp开关建议改为表意更清晰的$ServicePrincipal，可以保留sp作为参数别名，符合PowerShell官方开发规范
• 全量查询逻辑简化：现在全量查询分支用多层嵌套if/else，层级深可读性差，可以改用遍历查询规则数组的方式实现，后续扩展查询类型也更方便，示例逻辑如下：

$searchRules = @(
    @{
        Name = '用户'
        Command = { Get-AzADUser -ObjectId $objectID | Select-Object Mail, DisplayName }
    },
    @{
        Name = '用户组'
        Command = { Get-AzADGroup -ObjectId $objectID | Select-Object DisplayName, Description, Id }
    },
    @{
        Name = '应用(按ObjectId匹配)'
        Command = { Get-AzADApplication -ObjectId $objectID | Select-Object ObjectType, DisplayName, Id, Type, ApplicationId }
    },
    @{
        Name = '应用(按ApplicationId匹配)'
        Command = { Get-AzADApplication -ApplicationId $objectID | Select-Object ObjectType, DisplayName, Id, Type, ApplicationId }
    },
    @{
        Name = '服务主体(按ObjectId匹配)'
        Command = { Get-AzADServicePrincipal -ObjectId $objectID | Select-Object ObjectType, DisplayName, Id, Type, ApplicationId }
    },
    @{
        Name = '服务主体(按ApplicationId匹配)'
        Command = { Get-AzADServicePrincipal -ApplicationId $objectID | Select-Object ObjectType, DisplayName, Id, Type, ApplicationId }
    }
)

$found = $false
foreach ($rule in $searchRules) {
    $res = & $rule.Command
    if ($res) {
        Write-Host "匹配到$($rule.Name):"
        $res | Format-List
        $found = $true
        # 如果需要返回所有匹配结果去掉下面的break即可
        break
    }
}
if (-not $found) {
    Write-Warning "Object does not exist."
}

• 正则校验优化：当前ValidatePattern的正则只匹配小写ID，而Azure的ObjectId、ApplicationId不区分大小写，建议给正则增加忽略大小写配置，避免大写格式的合法ID被误拦截。

内容的提问来源于stack exchange，提问作者P Wang