Powershell - 从多个 AD 组中删除多个 AD 成员

Question

我经常需要从多个不同的组中删除多个不同的用户，到目前为止，我一直在使用 dsmod 命令脚本来完成它。但是，我一直在尝试使用一些 powershell 魔法来升级，也许可以加快这个过程。我还需要脚本来输出操作日志，成功和失败一起或单独输出。

我使用的输入文件是一个 .csv，第一列是用户 ID，第二列是组名。我正在使用的测试输入文件既有专有名称，也有简单的 samaccountname 表示，以便我可以看到它如何接受输入。此外，就在我们在同一页面上，我编辑了输出错误以保护我们的域信息，但相信有什么可以公平地表示它应该是什么。

到目前为止，我已经找到了一些我尝试过的变体。第一个是：

$fileList = import-CSV -Delimiter ',' c:\temp\Logs\RemoveUserInput.csv 

foreach($entry in $fileList)            
{ 
  $user = $entry.UserID 
  $group = $entry.Group
  remove-adgroupmember -Identity $group -Member $user -Confirm:$false
}

我得到的错误是：

PS C:\Temp\Logs> .\remove_users_from_group.ps1
remove-adgroupmember : Cannot find an object with identity:
'cn=user1,dc=domain,dc=com' under:
'DC=domain,DC=com'.
At C:\Temp\Logs\remove_users_from_group.ps1:7 char:3
+   remove-adgroupmember -Identity $group -Member $user -Confirm:$false
+   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ObjectNotFound: (cn=user1,dc=domain,dc=c
   om:ADPrincipal) [Remove-ADGroupMember], ADIdentityNotFoundException
    + FullyQualifiedErrorId : SetADGroupMember.ValidateMembersParameter,Micros
   oft.ActiveDirectory.Management.Commands.RemoveADGroupMember

remove-adgroupmember : Cannot find an object with identity: 'user1' under:
'DC=domain,DC=com'.
At C:\Temp\Logs\remove_users_from_group.ps1:7 char:3
+   remove-adgroupmember -Identity $group -Member $user -Confirm:$false
+   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ObjectNotFound: (user1:ADPrincipal) [Remove-ADG
   roupMember], ADIdentityNotFoundException
    + FullyQualifiedErrorId : SetADGroupMember.ValidateMembersParameter,Micros
   oft.ActiveDirectory.Management.Commands.RemoveADGroupMember

一位同事提供了脚本的变体，暗示部分问题可能出在我们的多域林中，并从域 2 中的组中删除域 1 中的用户。脚本变体如下：

Import-Module ActiveDirectory
$FileList = Import-CSV -Delimiter ',' C:\temp\Logs\RemoveUserInput.csv 

# Create new ADSearcher Object – could also be done differently
$objForest = [system.directoryservices.activedirectory.forest]::GetCurrentForest()
$ForestDefaultNC = "DC="+$objForest.RootDomain.Name.Replace(".",",DC=")
$ADSearcher = New-Object System.DirectoryServices.DirectorySearcher
$ADSearcher.PageSize = 1000

foreach($entry in $FileList) {
    $UserName = $entry.UserID 
    $GroupName = $entry.Group

    $GroupFilter = "(&(objectClass=group)(Name=$GroupName))"
    $ADSearcher.Filter = $GroupFilter
    $ADSearcher.SearchRoot = New-Object ADSI("GC://$($ForestDefaultNC)")
    $Group = $ADSearcher.FindAll()

    $UserFilter = "(&(objectCategory=person)(objectClass=user)(Name=$UserName))"
    $ADSearcher.Filter = $UserFilter
    $ADSearcher.SearchRoot = New-Object ADSI("GC://$($ForestDefaultNC)")
    $User = $ADSearcher.FindAll()

    Remove-ADGroupMember -Identity $Group -Members $User
} 

然后下面的错误是：

PS C:\Temp\Logs> .\2remove_users_from_group.ps1
Remove-ADGroupMember : Cannot bind parameter 'Identity'. Cannot convert the
"System.DirectoryServices.SearchResultCollection" value of type
"System.DirectoryServices.SearchResultCollection" to type
"Microsoft.ActiveDirectory.Management.ADGroup".
At C:\Temp\Logs\2remove_users_from_group.ps1:28 char:36
+     Remove-ADGroupMember -Identity $Group -Members $User
+                                    ~~~~~~
    + CategoryInfo          : InvalidArgument: (:) [Remove-ADGroupMember], Par
   ameterBindingException
    + FullyQualifiedErrorId : CannotConvertArgumentNoMessage,Microsoft.ActiveD
   irectory.Management.Commands.RemoveADGroupMember

Remove-ADGroupMember : Cannot bind parameter 'Identity'. Cannot convert the
"System.DirectoryServices.SearchResultCollection" value of type
"System.DirectoryServices.SearchResultCollection" to type
"Microsoft.ActiveDirectory.Management.ADGroup".
At C:\Temp\Logs\2remove_users_from_group.ps1:28 char:36
+     Remove-ADGroupMember -Identity $Group -Members $User
+                                    ~~~~~~
    + CategoryInfo          : InvalidArgument: (:) [Remove-ADGroupMember], Par
   ameterBindingException
    + FullyQualifiedErrorId : CannotConvertArgumentNoMessage,Microsoft.ActiveD
   irectory.Management.Commands.RemoveADGroupMember

如果能提供任何帮助，我们将不胜感激。

编辑：根据要求，以下是 .csv 文件的示例：

它非常简单，可能和你想象的完全一样：

UserID,group
"cn=user1,dc=domain,dc=com","cn=group1,dc=domain,dc=com"
user1,group1

Answer 1

FindAll() 方法的结果是 SearchResultCollection 类型，因为它可以包含多个用户。

要在 Remove-ADGroupMember 中使用，您需要获取目录条目或传递一些属性，例如可分辨名称。

根据MS Docs，身份可以是以下之一：

您可以通过可分辨名称 (DN)、GUID、安全标识符 (SID) 或安全帐户管理器 (SAM) 帐户名称来识别组。

例如：

$GroupDN = ($ADSearcher.FindAll() | select -first 1).Properties.distinguishedname

$UserDN = ($ADSearcher.FindAll() | select -first 1).Properties.distinguishedname

但是，如果您在输入 CSV 中已经有 DN，并且您不想明确检查组/用户是否存在，您可以使用 DN 调用 Remove-ADGroupMember 并在对象不存在时捕获错误。