PowerShell按部门分配AD用户组时if-else逻辑导致所有用户仅加入IT组问题求助

• 部门判断逻辑未限定查询范围：你写的Get-ADUser -Filter {Department -eq "IT"} 是查询整个AD域内所有部门为IT的用户，只要域内存在哪怕一个IT部门的用户，这个判断就会返回真，因此所有新用户都会命中第一个if条件，被加入IT组。
• 存在冗余查询：判断当前用户所属部门完全不需要二次查询AD，导入的CSV数据中的$User对象本身就带有Department字段，直接读取该字段判断即可，还能提升脚本运行效率。

Import-Module ActiveDirectory
$Users = Import-CSV -Path "C:\Users\Administrator\Desktop\Users.csv"

foreach ($User in $Users){
    $uname = $User.Username
    $first = $User.Firstname
    $last = $User.Lastname

    # 字符串格式的过滤条件更稳定，避免脚本块的变量作用域问题
    if (Get-ADUser -Filter "SamAccountName -eq '$uname'")
    {
        Write-Warning "用户 $uname 已存在，跳过创建流程"
    }
    else
    {
        # 创建AD用户
        New-ADUser `
        -Name "$first $last" `
        -SamAccountName $uname `
        -Path $User.OUPath `
        -Office $User.Office `
        -Department $User.Department `
        -Enabled $true

        # 直接用CSV的部门字段判断所属组，无需额外查AD
        switch ($User.Department) {
            "IT" { Add-ADGroupMember -Identity IT -Members $uname }
            "Marketing" { Add-ADGroupMember -Identity Marketing -Members $uname }
            "Sales" { Add-ADGroupMember -Identity Sales -Members $uname }
            default { Add-ADGroupMember -Identity HR -Members $uname }
        }
        Write-Host "用户 $uname 创建成功，已分配对应部门组"
    }
}

如果你域内的部门组名和CSV里Department字段的取值完全一致，可以把整个switch判断替换为一行代码，后续新增部门不需要修改脚本：

Add-ADGroupMember -Identity $User.Department -Members $uname

内容的提问来源于stack exchange，提问作者coding_newb