Get-ADPrincipalGroupMembership偶发无查询结果问题咨询

• 多域控制器同步延迟：多DC部署的AD环境下，两次AD查询（Get-ADUser、Get-ADPrincipalGroupMembership）默认会自动选择可用DC，若两次请求命中不同DC，且DC之间用户组属性还未完成同步，就会出现偶发查询结果为空的问题。
• 跨域/通用组查询限制：如果目标用户所属组包含跨域组、通用组，命中的DC如果是只读域控制器（RODC）且未缓存对应组的属性，或者父域/子域信任关系偶发抖动，会导致组查询无返回。
• 硬编码DN匹配逻辑误差：脚本中排除组的DN是硬写的固定值，若脚本运行时默认绑定的域上下文偶发变动（比如有时绑定父域、有时绑定corp子域），会导致正常返回的组被错误过滤，或者排除规则不生效但实际查询到的组DN和预期不一致被全部过滤。
• 账号权限缓存波动：运行脚本的账号对AD组对象的读取权限偶发失效，常见于域控制器权限缓存刷新、ACL继承配置异常的场景。

1. 固定查询的域控制器，避免DC自动选择带来的同步问题，修改脚本指定同一个DC执行两次查询：

# 指定固定DC执行所有AD查询，替换为你实际的DC域名
$TargetDC = "DC01.corp.domain.com"
$UserInfo = Get-ADUser -Filter { mail -eq $email } -properties mail, title, manager, SamAccountName, distinguishedName -Server $TargetDC | Select-Object SamAccountName, distinguishedName, title, manager
$UserSam = $UserInfo.SamAccountName
$ADGroups = Get-ADPrincipalGroupMembership -Identity $UserSam -Server $TargetDC | Select-Object distinguishedName, name | Where-Object { ($_.distinguishedName -ne 'CN=Domain Users,CN=Users,DC=Corp,DC=Domain,DC=com') -and ($_.distinguishedName -ne 'CN=Google-Users,OU=Security Groups,OU=Groups,DC=Domain,DC=com') }

2. 增加调试日志输出，排查过滤逻辑是否误杀：在Where-Object执行前先输出所有查询到的组DN，确认偶发为空时是底层查询无结果，还是过滤后结果为空：

$AllGroups = Get-ADPrincipalGroupMembership -Identity $UserSam -Server $TargetDC | Select-Object distinguishedName, name
# 调试用输出所有组
Write-Host "查询到的所有组DN：" $AllGroups.distinguishedName
$ADGroups = $AllGroups | Where-Object { ($_.distinguishedName -ne 'CN=Domain Users,CN=Users,DC=Corp,DC=Domain,DC=com') -and ($_.distinguishedName -ne 'CN=Google-Users,OU=Security Groups,OU=Groups,DC=Domain,DC=com') }

3. 替换Get-ADPrincipalGroupMembership为更稳定的查询方式，该cmdlet本身存在跨域查询、大用户组查询的已知稳定性问题，可以改用读取用户memberOf属性的方式查询：

$UserInfo = Get-ADUser -Filter { mail -eq $email } -properties memberOf, mail, title, manager, SamAccountName, distinguishedName -Server $TargetDC
$ADGroups = $UserInfo.memberOf | ForEach-Object { Get-ADGroup -Identity $_ -Server $TargetDC | Select-Object distinguishedName, name } | Where-Object { ($_.distinguishedName -ne 'CN=Domain Users,CN=Users,DC=Corp,DC=Domain,DC=com') -and ($_.distinguishedName -ne 'CN=Google-Users,OU=Security Groups,OU=Groups,DC=Domain,DC=com') }

4. 检查运行账号的AD权限，确认该账号对目标用户所在OU、所有组OU拥有读取权限，排除RODC缓存权限不足的问题。

内容的提问来源于stack exchange，提问作者dcaz