如果找不到，自动将用户添加到 AD 组

Question

我正在尝试设置一个 PS 脚本来添加成员（如果他们不属于某个组）并将其作为任务运行。 有人可以验证代码并提供反馈吗？ 谢谢。

$GROUP = 'CN=Group1,OU=SomeOU,DC=domain,DC=local'

Get-ADUser -Filter * -SearchBase "DC=domain,DC=local" -Properties MemberOf | 
Where-Object {$_.MemberOf -notcontains $GROUP } | 
ForEach-Object { Add-ADGroupMember -Identity $GROUP -Members $_ }

Answer 1

代码看起来不错，但可以通过利用Active Directory 过滤器来提高效率：

$group = 'CN=Group1,OU=SomeOU,DC=domain,DC=local'
Get-ADUser -LDAPFilter "(!memberof=$group)" -SearchBase "DC=domain,DC=local" |
    Add-ADPrincipalGroupMembership -MemberOf $group

-LDAPFilter "(!memberof=$group)"搜索所有不属于您的组的用户，这比查询搜索库中的所有用户然后使用powershell进行过滤要有效得多。

Answer 2

我可能会改用Add-ADPrincipalGroupMembership ，它将用户作为管道输入并将要添加的组作为参数。 应该表现好一点。

Get-ADUser -Filter * -SearchBase "DC=domain,DC=local" -Properties MemberOf | 
Where-Object MemberOf -notcontains $GROUP | 
Add-ADPrincipalGroupMembership -MemberOf $GROUP

Answer 3

像这样的东西应该可以在不转储每个用户的情况下工作（-ne 不会做你想做的事，过滤器也不会采用 -notcontains）。 -eq 与左侧的数组一起使用。 -not 具有高优先级，因此需要括号。

get-aduser -filter "-not (memberof -eq '$group')" -property memberof -SearchBase 'DC=domain,DC=local'