通过PowerShell查询AD组成员报错：Get-ADGroupMember属性无效

我之前碰到过服务账户执行这个命令出问题的情况，这个报错通常和权限、AD对象类型或者模块兼容性有关，给你几个实用的解决思路：

1. 先排查权限问题（最常见） #

服务账户的权限往往比普通用户受限更多，很可能是它没有读取目标AD组及成员属性的权限。默认普通用户能读取大部分AD对象属性，但服务账户如果没被授予足够权限，就会触发这类错误。

• 解决步骤：
  • 给服务账户添加读取所有用户和组属性的权限，可以在目标组所在的OU或者域级别通过AD权限设置完成；
  • 先换一个有域管理员权限的账户测试命令，如果能正常执行，基本就能确定是权限问题了。

2. 检查组内是否包含特殊类型对象 #

Get-ADGroupMember默认只支持用户、组、计算机这三类对象，如果你的组里混了联系人、服务主体这类特殊对象，就会抛出这个错误。

• 替代方案：
  用Get-ADGroup结合member属性来获取所有成员的DN，再逐个解析对象，这样能兼容所有AD对象类型：

  # 获取组的所有成员DN
  $group = Get-ADGroup -Identity MyGroup -Properties member
  # 逐个转换为AD对象
  $members = $group.member | ForEach-Object { Get-ADObject -Identity $_ }
  

3. 升级或调整AD PowerShell模块 #

老版本的RSAT-AD-PowerShell模块可能存在bug，对某些AD架构的支持不完善，也会导致属性读取异常。

• 解决办法：
  • 升级到最新版的RSAT-AD-PowerShell模块；
  • 或者在命令里明确指定要返回的属性，避免模块自动尝试读取无效属性：

    Get-ADGroupMember -Identity MyGroup -Properties Name, SamAccountName
    

4. 排查AD对象属性损坏（极端情况） #

极少数情况下，组或者成员对象的属性可能存在损坏，比如索引属性异常，这也会触发报错。

• 排查步骤：
  • 打开ADUC（Active Directory用户和计算机），查看目标组的成员列表，看看有没有显示异常的对象；
  • 尝试先移除可疑的成员，再重新运行命令测试。

如果你的最终目的是验证用户存在并移除，结合上面的方法可以这么写：

$targetUser = "UserNameToRemove"
# 获取目标用户的DN
$userDN = (Get-ADUser -Identity $targetUser).DistinguishedName
# 获取组的成员列表
$group = Get-ADGroup -Identity MyGroup -Properties member
# 检查用户是否在组内，存在则移除
if ($group.member -contains $userDN) {
    Remove-ADGroupMember -Identity MyGroup -Members $targetUser -Confirm:$false
}

内容的提问来源于stack exchange，提问作者Zirono