PowerShell AD账号终止脚本问题：移除指定组外的组失败

核心问题原因 #

1. 动态集合导致循环中断：你直接遍历的$userObj.MemberOf是AD用户对象的实时属性集合，当执行Remove-ADGroupMember移除用户组后，这个集合会立即更新，foreach循环的遍历范围被动态修改，导致循环提前终止，所以看不到后续的Write-Host输出，也无法处理剩余组。
2. 变量不一致风险：脚本中Remove-ADGroupMember用了$userName参数，但提示信息用的是$user，如果这两个变量值不匹配，会直接导致移除操作失败。

修正后的脚本 #

# 先把用户所属组的DN复制到静态数组，避免动态更新打断循环
$userGroups = @($userObj.MemberOf)

# 遍历静态数组里的组
foreach ($groupDN in $userGroups) {
    $group = Get-ADGroup -Identity $groupDN
    $groupName = $group.Name
    Write-Host "Member of: $groupName"

    # 判断是否需要移除该组
    if (
        $groupName -ne "Domain Users" -and
        -not $groupName.StartsWith("MSLicense") -and
        -not $groupName.StartsWith("SP-")
    ) {
        # 用$userObj作为用户标识更可靠，避免变量混淆
        Remove-ADGroupMember -Identity $group -Members $userObj -Confirm:$false
        Write-Host "$($userObj.SamAccountName) removed from group: $groupName"
    } else {
        Write-Host "Group Retained: $groupName"
    }
}

额外优化建议 #

• 添加错误捕获：如果移除操作失败，能及时看到报错信息，方便排查：

  try {
      Remove-ADGroupMember -Identity $group -Members $userObj -Confirm:$false -ErrorAction Stop
      Write-Host "$($userObj.SamAccountName) removed from group: $groupName"
  } catch {
      Write-Host "移除失败：$($userObj.SamAccountName) 无法退出 $groupName，错误信息：$_"
  }
  

• 提前缓存组信息：如果用户所属组较多，可以一次性批量获取所有组，减少AD查询次数：

  $userGroups = Get-ADGroup -Filter { DistinguishedName -in $userObj.MemberOf }
  foreach ($group in $userGroups) {
      $groupName = $group.Name
      # 后续逻辑同上
  }
  

内容的提问来源于stack exchange，提问作者Tristen Boring