部分AD用户WhenChanged/WhenCreated属性缺失致PowerShell导出异常

咱们先直击问题核心：你遇到的情况本质是AD PowerShell模块默认不返回WhenChanged和WhenCreated这两个属性，所以脚本里拿不到值，进而过滤时把这些用户误排除了——但AD图形界面会自动加载完整属性集，所以能看到正常数据。

下面是具体的修复和优化方案：

1. 强制指定查询属性集合 #

调用Get-ADUser时，必须通过-Properties参数明确声明要获取WhenCreated和WhenChanged，因为默认情况下，这个cmdlet只返回一组基础属性，时间戳类属性不在其中。

修改后的核心脚本示例：

# 定义要筛选的起始日期（按需调整）
$startDate = Get-Date "2023-01-01"

# 获取所有AD用户，明确指定需要的属性（按需添加其他属性）
$adUsers = Get-ADUser -Filter * -Properties WhenCreated, WhenChanged, Name, SamAccountName, UserPrincipalName

# 过滤逻辑：处理属性为空的边界情况，避免报错
$filteredUsers = $adUsers | Where-Object {
    ($_.WhenCreated -ne $null -and $_.WhenCreated -ge $startDate) -or
    ($_.WhenChanged -ne $null -and $_.WhenChanged -ge $startDate)
}

# 导出到CSV，指定UTF8编码避免中文乱码
$filteredUsers | Select-Object Name, SamAccountName, UserPrincipalName, WhenCreated, WhenChanged | 
    Export-Csv -Path "AD_Users_Export.csv" -NoTypeInformation -Encoding UTF8

2. 处理属性为空的特殊场景 #

即使指定了属性，极少数情况可能因为AD复制延迟、对象权限限制，导致属性仍未返回。所以在过滤逻辑里先判断属性是否为$null，既避免脚本抛出空引用错误，也能灵活调整过滤规则（比如如果你的需求是只要有一个属性符合条件就保留用户，就用示例中的-or逻辑）。

3. 排查权限问题 #

如果修改后仍有部分用户属性缺失，检查运行脚本的账号是否拥有读取AD对象完整属性的权限。部分受限容器内的用户、特殊权限配置的账号，可能需要额外授权才能读取时间戳属性——可以先用域管理员账号测试，快速排查是否是权限导致的问题。

额外小提示 #

• 要是需要导出更多用户属性，直接在-Properties参数里追加即可，比如EmailAddress、Department、Title等。
• 导出CSV时加上-Encoding UTF8，能有效避免中文用户名或信息出现乱码。

内容的提问来源于stack exchange，提问作者David Gatti