Add-ADGroupMember变量类型问题：如何用$gdn替代硬编码组名

首先咱们先捋清楚问题根源：你想用$gdn替换硬编码的组名，但Get-ADGroup一直没法正确匹配到组——这不是类型转换的问题，大概率是Filter的解析逻辑或者标识选择的可靠性导致的。

先给你一个前置排查步骤，确认$gdn的真实状态，避免值本身有问题（比如带不可见字符、首尾空格）：

# 输出$gdn的真实内容（加单引号能直观看到首尾空格）
Write-Host "gdn的实际值: '$gdn'"
# 输出$gdn的类型，确认是否为字符串
Write-Host "gdn的类型: $($gdn.GetType().FullName)"

接下来给你两个靠谱的解决办法，优先推荐第二个，稳定性更高：

方法1：修正Get-ADGroup的Filter写法 #

用脚本块{ displayName -eq $gdn }时，PowerShell偶尔会因为延迟绑定没正确解析变量，换成字符串格式的Filter就能解决，记得给变量套单引号（避免空格/特殊字符破坏Filter语法）：

# 先转义$gdn中的单引号（如果存在），防止Filter语法报错
$escapedGdn = $gdn.Replace("'", "''")
# 使用字符串格式的Filter获取组
$Group = Get-ADGroup -Filter "displayName -eq '$escapedGdn'"

方法2：直接用组的DistinguishedName（更可靠） #

既然你已经拿到了$group_dn（组的DN，AD中唯一标识），完全没必要再通过显示名查找组——显示名可能重复，但DN绝对唯一，直接用它作为-Identity参数的值：

# 直接通过DN获取组，一步到位避免匹配问题
$Group = Get-ADGroup -Identity $group_dn

最后建议加个判断，确保组存在再执行添加操作，避免无意义报错：

if ($null -eq $Group) {
    Write-Error "找不到对应的AD组，请检查gdn值: $gdn"
} else {
    Add-ADGroupMember -Identity $Group -Members $User
}

为啥之前的类型转换没用？因为$gdn本身就是从AD属性displayName获取的字符串，问题不在类型，而在于Get-ADGroup对脚本块Filter的解析逻辑，或者显示名的唯一性隐患。用DN的方法直接绕开了这些坑，是最稳妥的方案。

内容的提问来源于stack exchange，提问作者archcutbank