如何用PowerShell将Domain1用户添加到Domain2组？求System.DirectoryServices代码

咱先梳理清楚需求：从A域查询用户，然后把这个用户添加到B域的安全组/分发组里，全程用System.DirectoryServices相关类实现（不用AD模块，纯.NET类）。结合你给出的查询代码片段，我整理了完整的可运行脚本，附带关键细节说明：

前提条件 #

• 运行脚本的账号必须同时拥有：
  • 源域（用户所在域）的用户读取权限
  • 目标域（组所在域）的组写入权限（允许添加成员）
• 确保两个域之间存在信任关系（跨域操作的基础）

完整PowerShell代码 #

# -------------------------- 配置变量 --------------------------
# 源域全局编录地址（用于跨域查询用户）
$sourceGC = "GC://ldap-server.company.com"
# 目标域LDAP路径（组所在域的域控制器或默认命名上下文）
$targetLDAP = "LDAP://target-domain.company.com/DC=target-domain,DC=company,DC=com"

# 查询用户的属性（按需调整）
$userProperties = "objectcategory,distinguishedname,cn,mailnickname,samaccountname,objectSID"
# 用户查询过滤条件（补全你之前的片段，比如指定用户名前缀）
$userFilter = "(&(objectClass=User)(samaccountname=john*))"

# 目标组的识别条件（可以用samaccountname或distinguishedname）
$groupSamAccountName = "CrossDomain_User_Group"
# -------------------------------------------------------------

# 1. 查询源域的目标用户
$searcher = New-Object System.DirectoryServices.DirectorySearcher($sourceGC)
$searcher.Filter = $userFilter
$searcher.PropertiesToLoad.AddRange($userProperties -split ",")
$userResult = $searcher.FindOne()  # 这里假设只找一个用户，批量的话用FindAll()

if (-not $userResult) {
    Write-Error "未找到符合条件的用户"
    exit 1
}

# 获取用户的SID（跨域添加成员必须用SID绑定，避免名称冲突）
$userSID = New-Object System.Security.Principal.SecurityIdentifier($userResult.Properties["objectsid"][0], 0)
$userDN = $userResult.Properties["distinguishedname"][0]
Write-Host "找到用户: $($userResult.Properties["cn"][0]) ($userDN)，SID: $userSID"

# 2. 连接目标域并获取组对象
$targetDirEntry = New-Object System.DirectoryServices.DirectoryEntry($targetLDAP)
$groupSearcher = New-Object System.DirectoryServices.DirectorySearcher($targetDirEntry)
$groupSearcher.Filter = "(&(objectClass=Group)(samaccountname=$groupSamAccountName))"
$groupSearcher.PropertiesToLoad.Add("distinguishedname")
$groupResult = $groupSearcher.FindOne()

if (-not $groupResult) {
    Write-Error "目标域中未找到组: $groupSamAccountName"
    exit 1
}

$groupEntry = $groupResult.GetDirectoryEntry()
Write-Host "找到目标组: $($groupEntry.Properties["cn"].Value) ($($groupEntry.Properties["distinguishedname"].Value))"

# 3. 将用户添加到目标组
try {
    # 跨域添加成员需要用用户的完整LDAP路径或SID，这里用SID更可靠
    $groupEntry.Properties["member"].Add("LDAP://<SID=$($userSID.Value)>")
    $groupEntry.CommitChanges()
    Write-Host "成功将用户 $userDN 添加到目标组！"
}
catch {
    Write-Error "添加用户时出错: $_"
    # 回滚（如果有部分更改）
    $groupEntry.Close()
    exit 1
}

# 清理资源
$searcher.Dispose()
$groupSearcher.Dispose()
$groupEntry.Dispose()
$targetDirEntry.Dispose()

关键细节说明 #

• 全局编录(GC)：用GC://前缀查询用户，是跨域场景下的最优选择——全局编录存储了所有域的用户核心属性，无需指定具体域的LDAP路径。
• SID绑定：跨域添加成员时，用用户的SID（LDAP://<SID=...>）比用Distinguished Name更可靠，避免不同域中用户DN格式差异或名称重复的问题。
• 资源清理：用完DirectorySearcher和DirectoryEntry对象后调用Dispose()，避免内存泄漏。
• 批量处理：如果要添加多个用户，把FindOne()改成FindAll()，然后循环处理每个用户结果即可。

如果你的查询过滤条件需要调整（比如补全之前截断的samaccountna...），直接修改$userFilter变量就行，标准的LDAP过滤语法都支持。

内容的提问来源于stack exchange，提问作者archcutbank