PowerShell如何获取安全组GUID以完成ACL与委派权限分配

• 核心逻辑不匹配问题
  MyOU是活动目录中组织单元（OU）的常见命名格式，当前脚本使用的Get-ADGroup仅能查询安全组/通讯组对象，永远无法匹配OU类对象，自然会返回空结果。如果目标确实是名为MyOU的安全组，需要先核对组名是否和OU命名混淆；如果实际要获取的是OU的GUID，必须替换为对应查询OU的cmdlet。
• AD过滤器语法问题
  PowerShell AD模块的过滤器中，-like运算符必须搭配*通配符才能正常生效，无通配符的-like行为容易出现非预期匹配。如果是精准匹配对象名称，直接改用-eq语法更稳定：
  错误示例：-Filter "name -like 'MyOU'"
  正确精确匹配写法：-Filter "Name -eq 'MyOU'"
  模糊匹配（匹配名称含MyOU的所有对象）写法：-Filter "Name -like '*MyOU*'"
• 取值输出格式问题
  直接将Select ObjectGUID返回的自定义对象传给Write-Host拼接时，PowerShell会默认输出对象的类型标识，而非GUID本身的字符串值，表现为“无法解析得到预期结果”。需要通过-ExpandProperty参数直接提取属性的实际值。

场景化修正脚本 #

场景1：目标为MyOU名称的安全组 #

# 直接提取ObjectGUID实际值，无需全量拉取所有属性
$guidMap = Get-ADGroup -Filter "Name -eq 'MyOU'" | Select-Object -ExpandProperty ObjectGUID
Write-Host "Here is what you need: $guidMap"

说明：ObjectGUID是Get-ADGroup默认返回的属性，不需要加-Properties *全量拉取所有对象属性，可大幅降低查询时的域负载。

场景2：目标为MyOU名称的组织单元（OU） #

$guidMap = Get-ADOrganizationalUnit -Filter "Name -eq 'MyOU'" | Select-Object -ExpandProperty ObjectGUID
Write-Host "Here is what you need: $guidMap"

兜底排查操作 #

如果脚本执行后依然返回空值，可先运行不带值提取的查询命令，确认目标对象是否真实存在：

• 查询匹配的安全组：Get-ADGroup -Filter "Name -like '*MyOU*'"
• 查询匹配的OU：Get-ADOrganizationalUnit -Filter "Name -like '*MyOU*'"
  如果上述命令返回为空，需核对三点：一是目标对象的名称拼写是否准确，二是当前执行脚本的账号是否有读取对应AD对象的权限，三是PowerShell当前连接的域是否是目标对象所在的域。

内容的提问来源于stack exchange，提问作者user2244590