Intune部署PowerShell脚本添加AzureAD用户至本地管理员组失败求助

核心故障原因 #

• Intune部署PowerShell脚本默认以**系统上下文（SYSTEM账户）**执行，原脚本中[System.Environment]::UserName 拿到的是SYSTEM账户的名称而非当前登录的用户，本地测试时是用户上下文执行所以能拿到正确值，部署后就会生成错误的邮箱前缀。
• net.exe作为外部命令，接收PowerShell变量拼接的参数时容易出现解析异常，PowerShell原生的本地组操作命令兼容性更强。
• 部分场景下双引号包裹的AzureAD\$email 字符串传递给外部命令时，反斜杠可能导致参数截断。

修复后的可用脚本 #

# 系统上下文下也能正确获取当前登录的用户名（取explorer进程的所有者）
$currentUser = (Get-WmiObject -Class Win32_Process -Filter "Name = 'explorer.exe'" | Select-Object -First 1 | Invoke-WmiMethod -Name GetOwner | Select-Object -ExpandProperty User)
# 按原有规则拼接邮箱前缀，统一转小写匹配命名规则
$emailPrefix = -join ($currentUser -csplit "([A-Z])")[1..3]
$email = $emailPrefix.ToLower() + "@somedomain.com"
# 使用PowerShell原生命令添加本地管理员，无参数解析问题
Add-LocalGroupMember -Group "Administrators" -Member "AzureAD\$email"

部署配置注意事项 #

• 脚本用系统上下文部署即可，不需要修改为用户上下文，避免普通用户无权限修改本地组的问题。
• 确认设备已完成Azure AD加入，本地可正常识别AzureAD\前缀的用户身份。
• 若有特殊命名规则可自行调整$emailPrefix的拼接逻辑，只要和Azure AD中用户的用户主体名称匹配即可。

内容的提问来源于stack exchange，提问作者user16673088