PowerShell New-ADUser密码不满足复杂度仍创建禁用用户问题咨询

问题1：New-ADUser指定无效密码时仍创建禁用用户、ErrorAction配置不生效的原因 #

• 这是Windows Server 2019自带的ActiveDirectory PowerShell模块的已知底层行为：New-ADUser执行时会拆分两个独立的LDAP请求：
  1. 先提交基础用户属性（账号名、姓名等）创建禁用状态的用户对象
  2. 再提交密码设置请求
• 密码复杂度校验发生在第二步，校验失败时模块不会主动回滚第一步已经创建完成的用户对象。-ErrorAction Stop仅能让第二步的错误从非终止异常转为终止异常触发catch，但无法撤销第一步已完成的AD写入操作。
• 另外若要准确捕获密码复杂度异常，需注意模块会对异常做包装，建议先捕获所有异常再判断异常类型，避免特定类型匹配失败的问题。

问题2：你的方案选择思路完全合理，try/catch捕获AD原生校验异常远优于自定义正则校验 #

原因如下：

• 自定义正则无法覆盖所有场景：
  1. Unicode字符集范围极广，手动枚举字母、数字、符号分类的Unicode子集非常容易出现遗漏，无法完全匹配微软官方规则的要求
  2. 正则仅能校验密码本身的字符组合规则，无法覆盖AD域的其他密码策略：比如密码历史记录要求、最短密码使用期限、针对特定用户/组的细粒度密码策略（FGPP），如果域中部署了第三方密码过滤插件，正则校验更是完全无法匹配实际规则
• AD原生的密码校验是最权威的：所有密码设置请求都会经过域控的完整密码策略校验，返回的ADPasswordComplexityException完全对齐当前域的所有密码规则，不需要额外维护规则匹配逻辑，稳定性和合规性远高于自定义正则。

生产环境落地的实操方案 #

你可以通过拆分操作+主动回滚的逻辑，避免无效禁用用户的产生，参考代码示例：

$ErrorActionPreference = "Stop"
$newUserName = "test1"
try {
    # 第一步：先创建不带密码的禁用用户
    New-ADUser $newUserName -Givenname test -Surname test -Enabled $false
    # 第二步：单独设置账号密码
    Set-ADAccountPassword -Identity $newUserName -Reset -NewPassword (ConvertTo-SecureString "abc" -AsPlainText -Force)
    # 密码设置成功后再启用用户
    Set-ADUser -Identity $newUserName -Enabled $true
}
catch [Microsoft.ActiveDirectory.Management.ADPasswordComplexityException] {
    # 捕获到密码复杂度错误，主动删除已创建的无效用户
    Remove-ADUser -Identity $newUserName -Confirm:$false
    Write-Error "密码不符合域复杂度要求，用户创建已取消"
}
catch {
    # 其他错误处理，同样回滚用户创建操作
    if (Get-ADUser -Filter {SamAccountName -eq $newUserName} -ErrorAction SilentlyContinue) {
        Remove-ADUser -Identity $newUserName -Confirm:$false
    }
    Write-Error "用户创建失败：$($_.Exception.Message)"
}

内容的提问来源于stack exchange，提问作者Paul π