Active Directory组策略登录脚本：服务器正常，客户端无内容输出

首先，从你的描述来看，脚本在服务器上能正常生成带AD信息的文件，但客户端只生成空文件，核心问题肯定出在AD用户信息获取环节——脚本能创建文件，说明Out-File执行了，但前面的变量都是空值，所以写入的内容是空的。下面给你一步步的排查方向，顺便指出脚本里的几个明显问题：

一、先排查脚本本身的语法/变量问题 #

你的脚本里有几个明显的错误，这很可能是导致客户端失败的直接原因：

• 未定义的变量：脚本最后一行用了$normalName，但前面只定义了$strName = $env:username，这个变量根本不存在，直接会导致拼接的字符串开头就是空的；
• 大小写不一致的变量：比如你先定义了$ObjUser，后面却用$objuser.Title（小写o），虽然PowerShell变量名不区分大小写，但这种写法很容易引发意外，建议统一变量名的大小写；
• Filter写法的潜在问题：用脚本块{sAMAccountName -eq $strName}作为Get-ADUser的Filter，在某些PowerShell版本或受限环境下可能会出现解析错误，更稳妥的写法是用字符串格式：-Filter "sAMAccountName -eq '$strName'"；
• 变量拼写错误：$folderlocation和后面的$folderLocation（L大写），$Filenam少了一个e（应该是$Filename），虽然PowerShell不严格，但这种小错误可能导致路径异常。

二、客户端环境的排查步骤 #

1. 检查AD模块是否安装
   服务器默认会安装Active Directory模块，但客户端（比如Windows 10/11）需要手动安装RSAT工具里的AD模块。你可以在客户端打开PowerShell，直接运行Get-Module -Name ActiveDirectory -ListAvailable，如果没有返回结果，说明模块没装，需要通过“设置-应用-可选功能-添加功能”找到“RSAT: Active Directory Domain Services and Lightweight Directory Tools”安装。

2. 验证域用户的AD读取权限
   虽然默认域用户有读取AD用户属性的权限，但有些企业会做精细的AD权限控制，限制普通用户读取某些属性（比如telephoneNumber、mail）。你可以在客户端用登录的用户打开PowerShell，手动执行Get-ADUser -Properties displayName,title,telephoneNumber,mail,sAMAccountName,fullname -Filter "sAMAccountName -eq '$env:username'"，看看能不能返回结果。如果报错“无权限”或者返回的属性是空的，就需要联系AD管理员调整权限。

3. 检查PowerShell执行策略与脚本运行上下文
   客户端的PowerShell执行策略如果是Restricted，会阻止脚本运行，但你的脚本能创建文件，说明策略至少是RemoteSigned。不过可以在客户端手动运行脚本，看有没有报错：把脚本复制到客户端桌面，用登录用户打开PowerShell，直接运行.\\你的脚本名.ps1，看控制台输出的错误信息——这是最直接的排查方式，因为组策略运行脚本时默认不会显示错误。

4. 添加错误日志排查
   给脚本加错误捕获和日志输出，这样能明确知道哪里出问题。比如修改脚本，把错误信息写到日志文件里：

$strName = $env:username
$logPath = [Environment]::GetFolderPath("Desktop") + "\\script_error.log"

try {
    # 明确指定需要的属性，避免用*拉取所有属性（影响性能）
    $ObjUser = Get-ADUser -Properties displayName, title, telephoneNumber, mail, fullname `
                          -Filter "sAMAccountName -eq '$strName'" `
                          -ErrorAction Stop
    
    $strTitle = $ObjUser.Title
    $strPhone = $ObjUser.telephoneNumber
    $strEmail = $ObjUser.mail
    $strFullName = $ObjUser.fullname

    $folderLocation = [Environment]::GetFolderPath("Desktop")
    $Filename = "$folderLocation\test.txt"
    # 用定义好的$strName代替未定义的$normalName
    $SigName = "$strName - $strTitle - $strPhone - $strEmail"
    $SigName | Out-File $Filename -Encoding utf8
}
catch {
    $errorMessage = "[$(Get-Date)] 脚本执行错误: $_"
    $errorMessage | Out-File $logPath -Append -Encoding utf8
}

把这个修改后的脚本放到组策略里，客户端登录后查看桌面的script_error.log，就能看到具体的错误原因了。

三、其他可能的原因 #

• DNS解析问题：客户端无法正确解析AD域控制器的地址，导致Get-ADUser无法连接到AD。可以在客户端运行nslookup 你的域名，看能不能返回域控制器的IP。
• 组策略脚本的延迟执行：有时候客户端登录时，网络还没完全连接，导致AD模块无法连接到域控制器。可以尝试在脚本开头加一段等待网络连接的代码，或者把脚本改成登录后延迟执行。

内容的提问来源于stack exchange，提问作者bofall