Powershell 使用 Add-ADGroupMember 抛出错误

Question

我正在使用以下代码尝试将用户删除并添加到 ActiveDirectory 组:

import-module ActiveDirectory

$logs = "D:\logs"
$user = "TempValue"
$group = Get-ADGroup "SomeValue"
$date = (Get-Date).ToString('yyyyMMdd')
$userPrincipal = (get-aduser "$user" -server 123 -properties *).userPrincipalName
$newUser = (get-aduser -filter "userPrincipalName -like '$userPrincipal'" -server 456)

$FileSystem = New-Object -com "Scripting.FileSystemObject"
$stream = $FileSystem.CreateTextFile("$logs\changedgroups-$date.txt", $True, $True)

Remove-ADGroupMember -Identity "$group" -Member "$user" -Confirm:$false
$stream.WriteLine("Removed $user from $group")
Add-ADGroupMember -Identity $group -server 123 -Member $newUser
$stream.WriteLine("Added $newUser to $group")

场景: 两个域位于同一个林中 域位于不同的林中。我在域“123”上试图从域 123 中的组中删除用户并将用户添加到域 456 中的同一组中。

问题: 它从域 456 添加用户，但将用户显示为外部安全策略并给出消息“请注意，此对象只是来自受信任的外部域的用户或组的占位符”。知道为什么吗？

Answer 1

我也遇到了 add-adgroupmember 的这种限制。为了绕过它切换到 Set-ADGroup，下面提供了一些示例。您可以在添加或删除时指定 DN、SID 或 samaccountname

Set-ADGroup -Add:@{'Member'="CN=Group3,CN=Users,DC=GLOBOMANTICS,DC=COM"} -Identity:"CN=Group1,CN=Users,DC=GLOBOMANTICS,DC=COM" -Server:"DC.GLOBOMANTICS.COM"

Set-ADGroup -Identity:"CN=Group1,CN=Users,DC=GLOBOMANTICS,DC=COM" -Remove:@{'Member'="CN=Group3,CN=Users,DC=GLOBOMANTICS,DC=COM"} -Server:"DC.GLOBOMANTICS.COM"