AD重建用户后PowerShell脚本环境变量指向管理员账户的解决咨询

我完全懂你现在的处境——误删180个AD用户重建后，新SID导致用户登录时生成全新配置文件，你要写脚本给用户开放旧配置文件夹权限还得在桌面加快捷方式，结果脚本跑在管理员权限下时，环境变量全指向管理员账户，根本拿不到目标用户的路径，太闹心了！

下面是针对这个问题的具体解决方案，核心思路是直接获取目标用户的环境变量，而不是依赖当前管理员进程的环境变量：

1. 先明确目标用户的关键信息（SID、环境路径） #

当用管理员权限运行PowerShell时，$env:USERPROFILE这类变量都是管理员的，所以我们需要主动查询目标用户的AD信息和对应的用户环境变量：

# 假设你已经有目标用户名的列表，这里以单个用户为例，批量处理可以循环
$targetUsername = "jdoe"

# 获取目标用户的AD对象和SID
$adUser = Get-ADUser -Identity $targetUsername
$userSID = $adUser.SID.Value

# 获取目标用户的环境变量（比如桌面、用户文件夹路径）
# 用CIM获取用户的环境配置
$userEnv = Get-CimInstance -ClassName Win32_UserProfile -Filter "SID='$userSID'"
$oldProfilePath = "C:\Users\$targetUsername" # 如果旧配置有后缀比如.OLD，这里要调整判断逻辑
$newProfilePath = $userEnv.LocalPath

# 获取目标用户的桌面路径（从用户注册表读取，更准确）
$desktopPath = (Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\$userSID" -Name ProfileImagePath).ProfileImagePath | Join-Path -ChildPath "Desktop"

2. 授予目标用户对旧配置文件夹的权限 #

用icacls命令或者PowerShell的ACL操作来添加权限，这里推荐icacls更简洁：

# 给目标用户添加旧文件夹的完全控制权限（根据需求调整权限级别）
icacls $oldProfilePath /grant "$($adUser.UserPrincipalName):(OI)(CI)F" /T

如果想用纯PowerShell ACL操作：

$acl = Get-Acl -Path $oldProfilePath
$permission = $adUser.SID, "FullControl", "ContainerInherit,ObjectInherit", "None", "Allow"
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission
$acl.AddAccessRule($accessRule)
Set-Acl -Path $oldProfilePath -AclObject $acl

3. 在目标用户桌面创建旧配置文件夹的快捷方式 #

这里要注意必须用目标用户的桌面路径，而不是管理员的：

# 创建WScript.Shell对象来生成快捷方式
$shell = New-Object -ComObject WScript.Shell
$shortcutPath = Join-Path -Path $desktopPath -ChildPath "旧用户配置.lnk"
$shortcut = $shell.CreateShortcut($shortcutPath)

# 设置快捷方式的目标路径和描述
$shortcut.TargetPath = $oldProfilePath
$shortcut.Description = "访问原用户配置文件夹"
$shortcut.Save()

# 确保快捷方式的权限是目标用户可访问的
Get-Acl -Path $shortcutPath | Set-Acl -Path $shortcutPath -AclObject $_ # 继承父文件夹权限，或者手动添加用户权限

批量处理180个用户的注意事项 #

• 把目标用户名放在一个列表里（比如从AD导出的CSV），循环处理每个用户
• 处理旧配置文件夹的命名异常：比如有些旧文件夹可能被重命名为用户名.OLD，可以用Get-ChildItem C:\Users | Where-Object {$_.Name -like "$targetUsername*"}来匹配
• 脚本可以做成GPO登录脚本，但要注意GPO登录脚本默认是用户权限运行，如果需要管理员权限，可以用psexec或者GPO的计算机脚本（但要判断当前登录用户）

关键要点总结 #

• 永远不要依赖$env:变量来获取目标用户的路径，必须通过AD查询、CIM或者注册表来获取
• 权限操作时直接用用户的SID或者UPN，避免用户名冲突
• 创建快捷方式时一定要用目标用户的桌面路径，而不是管理员的

内容的提问来源于stack exchange，提问作者MagicMatt