PowerShell循环逻辑异常：脚本未为AD组添加正确直属下属成员

• 直属下属获取的入参维度错误：原代码是把全量经理数组$name整体传给Get-Directreport，脚本返回的是所有经理的直属下属的全量合并集合，没有建立经理与下属的映射关系，导致所有组拿到的都是同一个全量成员池
• 循环迭代的维度错位：原成员添加循环是遍历提前查询的旧组列表，而组创建完成后新生成的组根本不在旧查询结果里；且代码中把add-adgroupmember用多余大括号包裹成了未执行的脚本块，没有实际触发添加动作
• 组列表查询时机错误：在创建新组之前提前拉取目标OU下的现有组列表，新创建的300余个组不会被纳入这个提前查询的变量范围，导致后续循环根本覆盖不到新建组

修复思路是把组创建、成员匹配的逻辑合并到同一个逐经理遍历的循环里，每轮循环单独取当前经理的下属，单独匹配对应的组做添加，避免批量拉取导致的无映射问题。
修复后的完整脚本：

Import-Module ActiveDirectory

. "C:\Users\ben\Documents\Get-Directreport.ps1"

$ou = "ou=test, ou=Litmos, ou=Resources, ou=Groups, ou=company, dc=domain, dc=net"
$creds = "domain.net\ben"
$server = "dc01.domain.net"

# 原逻辑保留：获取所有经理的核心属性
$managers = Get-ADGroupMember -identity "CN=All Managers,OU=Organizational,OU=Groups,OU=company,DC=domain,DC=net" | Select-Object name, samaccountname

# 逐经理遍历处理，替代原来拆分的创建/添加两个分离循环
Foreach ($manager in $managers) {
    # 按原逻辑构造组名
    $targetGroupName = "Report to $($manager.name)"
    # 检查组是否存在，不存在就创建（和原创建逻辑完全一致）
    $existingGroup = Get-ADGroup -SearchBase $ou -Filter "Name -eq '$targetGroupName'" -Server $server
    if (-not $existingGroup) {
        New-ADGroup -Name $targetGroupName -GroupScope Global -Path $ou -Server $server
        # 重新获取刚创建的组对象，避免AD复制缓存导致的对象定位失败
        $existingGroup = Get-ADGroup -SearchBase $ou -Filter "Name -eq '$targetGroupName'" -Server $server
    }
    # 每轮单独给当前的经理传参，获取仅属于他的直属下属
    $currentManagerUnderlings = Get-Directreport $manager.samaccountname | Select-Object -ExpandProperty samaccountname
    # 仅在有下属的情况下执行添加，避免空值报错
    if ($currentManagerUnderlings) {
        Add-ADGroupMember -Identity $existingGroup -Members $currentManagerUnderlings -Server $server
    }
}

• 核心匹配逻辑调整：把原来一次性拉取全量下属的逻辑，改成每轮循环只传当前迭代的单个经理的samaccountname给Get-Directreport，确保拿到的是和当前经理一一对应的下属列表，不会出现全量成员混加的问题
• 流程合并优化：把原来分离的组创建、成员添加逻辑合并到同一个经理遍历循环里，不需要提前在创建组之前查询一次目标OU下的组列表，从根源上避免新组不在旧查询结果里的问题
• 语法修正：移除了原代码中多余的脚本块大括号，确保Add-ADGroupMember命令会实际执行
• 稳定性增强：给所有AD命令补上了你原代码里定义的$server参数，避免跨AD站点查询延迟导致的组/用户定位失败；增加空值判断，没有直属下属的经理会跳过添加动作，避免空值报错

内容的提问来源于stack exchange，提问作者Skeer