Powershell批量删除ADSI中客户LDAP域缓存账户未生效问题

当前命令失效的核心原因 #

• 管道传递对象时，Remove-ADObject 默认会自动连接当前PowerShell会话关联的自有AD域，不会继承上游Get-ADObject传入的 -Server 参数。哪怕查询返回的对象来自myserver:3890端口的自定义目录，删除动作实际是打到本地自有域的对应路径上；因为本地域不存在对应路径的对象，命令会直接静默跳过执行，既不抛错也不完成删除。
• 之前尝试用Remove-ADUser执行失败，也是因为该命令会默认校验自有域的用户类架构与分区规则，跨自定义非标准目录存储时，非常容易触发分区不匹配的报错。

可直接落地的操作步骤 #

1. 显式绑定删除目标，避免静默执行 #

不要用管道直接把查询结果传给删除命令，改为先提取待删除对象的可识别属性，再在删除环节显式指定目标ADSI服务器：

# 先查询拿到所有待删除的目标对象，优先用LDAPFilter避免脚本块filter的作用域解析偏差
$targetObjects = Get-ADObject -Server "myserver:3890" `
    -SearchBase "CN=fqdn.customer.org,CN=Authentication Sources,O=Enterprise,CN=DifferentDirectory" `
    -LDAPFilter "(name=testuser)" `
    -Properties DistinguishedName, ProtectedFromAccidentalDeletion

# 遍历对象执行删除，显式绑定目标服务器，加-Confirm:$False跳过交互确认
foreach ($obj in $targetObjects) {
    Remove-ADObject -Server "myserver:3890" `
        -Identity $obj.DistinguishedName `
        -Confirm:$False
}

关键注意点：跨非默认389端口的自定义目录时，管道传递的AD对象不会自动携带服务器指向，必须通过循环提取对象DN，在删除命令上显式指定-Server参数，才能保证删除动作命中正确的目标存储。

2. 移除防误删属性拦截 #

这类应用自动生成的缓存账户，通常会被系统加上“防止意外删除”的属性标记。图形界面通过ADSIEDIT操作时，会自动跳过这个属性校验；但命令行执行时会被规则拦截，需要在删除前先关闭这个保护：

foreach ($obj in $targetObjects) {
    # 先解除防意外删除保护
    Set-ADObject -Server "myserver:3890" `
        -Identity $obj.DistinguishedName `
        -ProtectedFromAccidentalDeletion $False `
        -Confirm:$False
    # 再执行删除操作
    Remove-ADObject -Server "myserver:3890" `
        -Identity $obj.DistinguishedName `
        -Confirm:$False
}

3. 适配数千个对象的批量执行优化 #

如果需要一次性清理数千个缓存账户，不要逐个单独查询匹配单个用户，直接通过LDAPFilter一次性捞出目标存储下所有符合规则的缓存对象，循环执行删除即可，避免逐次查询带来的性能损耗：

# 示例：一次性匹配指定客户域路径下所有缓存用户类对象
$allCacheAccounts = Get-ADObject -Server "myserver:3890" `
    -SearchBase "CN=fqdn.customer.org,CN=Authentication Sources,O=Enterprise,CN=DifferentDirectory" `
    -LDAPFilter "(objectClass=user)" `
    -Properties DistinguishedName, ProtectedFromAccidentalDeletion

foreach ($account in $allCacheAccounts) {
    Set-ADObject -Server "myserver:3890" -Identity $account.DistinguishedName -ProtectedFromAccidentalDeletion $False -Confirm:$False
    Remove-ADObject -Server "myserver:3890" -Identity $account.DistinguishedName -Confirm:$False
}

操作前置验证：第一次执行正式删除逻辑前，可以先把删除命令替换为Write-Host $account.DistinguishedName，确认输出的所有对象标识都是目标存储中的缓存副本，没有误选自有域的对象，再开启实际删除流程，避免误操作。

内容的提问来源于stack exchange，提问作者dbutts