无法使用变量筛选特定AD组：Get-ADGroup命令问题

这是PowerShell和AD模块交互时很常见的小坑，我来帮你拆解原因和对应的解决方案：

问题根源 #

当你用脚本块{}作为Get-ADGroup的-Filter参数时，PowerShell会把这个脚本块转换成LDAP查询字符串，但脚本块内部的变量不会像普通字符串那样直接展开——它会把"$ADGroupname"当作字面量传递给AD服务器，而不是替换成你定义的变量值。所以实际发送的过滤器是(GroupCategory=Security) and (name="$ADGroupname")，自然找不到名为dummygroup的组。

三种可行的解决方案 #

方案1：用字符串格式构建过滤器（最推荐） #

直接用双引号包裹过滤器字符串，这样变量会被正确展开，同时用单引号括住字符串类型的条件值：

$ADGroupname = "dummygroup"
Get-ADGroup -Filter "GroupCategory -eq 'Security' -and name -eq '$ADGroupname'" -SearchBase "OU=Application,OU=SCSX,OU=Groups,OU=Unity,DC=B40,DC=in"

这种方式最直观，也符合PowerShell处理字符串变量的常规逻辑。

方案2：使用$using:作用域修饰符（脚本块方式） #

如果坚持想用脚本块作为过滤器，可以用$using:来引用当前作用域的变量，这会告诉PowerShell把外部变量的值注入到脚本块中：

$ADGroupname = "dummygroup"
Get-ADGroup -Filter {GroupCategory -eq "Security" -and name -eq $using:ADGroupname} -SearchBase "OU=Application,OU=SCSX,OU=Groups,OU=Unity,DC=B40,DC=in"

注意：这个方法需要PowerShell 3.0及以上版本支持。

方案3：用-LDAPFilter直接写LDAP查询字符串 #

如果你熟悉LDAP语法，也可以直接构造LDAP过滤器字符串：

$ADGroupname = "dummygroup"
Get-ADGroup -LDAPFilter "(&(objectCategory=group)(groupType:1.2.840.113556.1.4.803:=2147483648)(name=$ADGroupname))" -SearchBase "OU=Application,OU=SCSX,OU=Groups,OU=Unity,DC=B40,DC=in"

这里的groupType:1.2.840.113556.1.4.803:=2147483648是用来匹配安全组的LDAP语法，和GroupCategory -eq "Security"等价。

内容的提问来源于stack exchange，提问作者jcaloy