ADSI查询部分服务器正常运行部分失败的技术求助

我之前处理过不少老Windows Server的脚本兼容问题，针对你遇到的ADSI查询在部分服务器失败的情况，给你几个可行的解决方案：

1. 修正ADSI路径并添加异常处理逻辑 #

你的现有代码片段里的ADSI路径可能不完整，导致部分服务器无法正确识别。试试用完整的计算机路径，同时添加异常捕获来跳过无法访问的组，避免整个模块崩溃：

$localGroups = Invoke-Command -ComputerName $server -Credential $adminCred -ScriptBlock {
    # 指向本地计算机的完整ADSI路径
    $computer = [ADSI]"WinNT://$env:COMPUTERNAME,Computer"
    # 筛选出所有本地组对象
    $groups = $computer.Children | Where-Object { $_.SchemaClassName -eq 'group' }
    
    $groupMemberList = foreach ($group in $groups) {
        try {
            # 获取组内成员，处理可能的权限或访问异常
            $members = $group.Invoke('Members') | ForEach-Object {
                $memberObj = [ADSI]$_
                [PSCustomObject]@{
                    GroupName  = $group.Name[0]
                    MemberName = $memberObj.Name[0]
                    MemberPath = $memberObj.Path
                }
            }
            $members
        }
        catch {
            Write-Warning "无法读取组 $($group.Name[0]) 的成员信息：$_"
            continue
        }
    }
    $groupMemberList
}

2. 适配Windows Server 2003的特殊依赖 #

Windows Server 2003对远程ADSI查询有额外要求，这些点很容易被忽略：

• 确保目标服务器启用了Remote Registry服务，ADSI查询本地组时依赖该服务；
• 用于远程执行的账号必须是目标服务器的本地管理员组成员，2003的ADSI权限控制比后续版本更严格；
• 如果用WinRM远程执行，Windows Server 2003默认没有安装WinRM，需要先安装WinRM 1.1版本；如果不想升级WinRM，也可以改用psexec替代Invoke-Command执行本地脚本（注意psexec需要管理员权限）。

3. 兼容性兜底方案：解析net localgroup命令输出 #

如果ADSI始终存在兼容问题，老系统肯定支持net localgroup命令，我们可以解析它的输出来获取组和成员，这个方案几乎能覆盖所有Windows Server版本：

$localGroups = Invoke-Command -ComputerName $server -Credential $adminCred -ScriptBlock {
    # 获取所有本地组名称
    $groupNames = net localgroup | Where-Object { $_ -match '^[A-Za-z0-9]' } | ForEach-Object { $_.Trim() }
    
    $groupMemberList = foreach ($group in $groupNames) {
        try {
            # 获取单个组的成员输出
            $output = net localgroup "$group"
            # 跳过命令输出的头部和尾部无效内容，提取成员列表
            $members = $output[3..($output.Count-3)] | Where-Object { $_ -notmatch '^-$' -and $_ -ne '' } | ForEach-Object { $_.Trim() }
            
            foreach ($member in $members) {
                [PSCustomObject]@{
                    GroupName  = $group
                    MemberName = $member
                }
            }
        }
        catch {
            Write-Warning "无法读取组 $group 的成员信息：$_"
            continue
        }
    }
    $groupMemberList
}

这个方案唯一的小缺点是需要解析命令行输出，对带特殊字符的组名可能需要额外处理，但大部分场景下足够稳定。

4. 远程执行的额外优化 #

• 针对Windows Server 2003，在Invoke-Command中添加-Authentication Negotiate参数，确保身份验证兼容老系统；
• 如果目标服务器的WinRM配置有问题，Windows Server 2008及以上可以执行winrm quickconfig快速配置，2003则需要手动配置WinRM服务的启动类型和监听端口。

内容的提问来源于stack exchange，提问作者user4084304