怎么利用PowerShell导出所有带有特殊字符的非法域账号-windows运维-PHP中文网

windows域中非法samaccountname指含禁用字符（如/\[]:;|=,+*?）、长度超20、为空或以点/连字符等开头结尾的账号；powershell脚本可扫描导出此类账号并支持upn和displayname补充检查。

powershell 本身不直接定义“非法域账号”，但 windows 域（active directory）对安全主体名称（如 samaccountname、userprincipalname）有明确的字符限制。所谓“带有特殊字符的非法域账号”，通常指：samaccountname 中包含 ad 明确禁止的字符（如 / \ [ ] : ; | = , + * ? ），或长度超限（>20 字符）、为空、以点或空格开头/结尾等。这些账号虽可能因历史原因或非标准方式创建而存在，但会引发组策略、脚本、第三方工具兼容性问题。

确认 AD 中哪些字符在 SamAccountName 中被禁止

AD 官方文档明确 SamAccountName 必须符合以下规则：

仅允许字母（a–z, A–Z）、数字（0–9）、连字符（-）、下划线（_）、美元符（$）
不能以点（.）、连字符（-）、下划线（_）或美元符（$）开头或结尾
不能包含空格、制表符、换行符等不可见字符
不能包含以下任一字符：/ \ [ ] : ; | = , + * ?
最大长度为 20 个字符

用 PowerShell 扫描并导出疑似非法账号（基于 SamAccountName）

使用 Get-ADUser 遍历所有启用用户，结合正则表达式和字符串检查逻辑筛选异常项。以下是一段可直接运行的脚本（需在域控制器或装有 RSAT-AD-PowerShell 的管理机上以域管理员权限执行）：

# 加载模块（若未加载）
Import-Module ActiveDirectory -ErrorAction SilentlyContinue
<h1>定义非法字符模式（含控制字符、空格、及 AD 禁止符号）</h1><p>$illegalPattern = '[^\w-$.]|^[.-\$<em>]|[.-\$</em>]$|[\x00-\x1F\x7F]| {2,}|^ | $|^$'</p><h1>补充检查：长度 >20 或为空</h1><p>$users = Get-ADUser -Filter {Enabled -eq $true} -Properties SamAccountName, UserPrincipalName, DistinguishedName -ResultSetSize $null</p><p>$badAccounts = @()
foreach ($u in $users) {
$sam = $u.SamAccountName
if (-not $sam -or $sam.Length -gt 20 -or $sam -match $illegalPattern) {
$badAccounts += [PSCustomObject]@{
SamAccountName    = $sam
UserPrincipalName = $u.UserPrincipalName
DistinguishedName = $u.DistinguishedName
Reason            = if (-not $sam) { "Empty SamAccountName" }
elseif ($sam.Length -gt 20) { "Length > 20" }
elseif ($sam -match '\x00|\x01|\x02|\x03|\x04|\x05|\x06|\x07|\x08|\x09|\x0A|\x0B|\x0C|\x0D|\x0E|\x0F|\x10|\x11|\x12|\x13|\x14|\x15|\x16|\x17|\x18|\x19|\x1A|\x1B|\x1C|\x1D|\x1E|\x1F|\x7F') { "Contains control characters" }
elseif ($sam -match ' ') { "Contains space" }
elseif ($sam -match '[/\[]:;|=,+*?\x00-\x1F\x7F]') { "Contains banned printable chars" }
elseif ($sam -match '^[.-\$<em>]|[.-\$</em>]$') { "Starts or ends with . - _ $" }
else { "Unknown pattern match" }
}
}
}</p><h1>导出到 CSV（含时间戳，便于归档）</h1><p>$timestamp = Get-Date -Format "yyyyMMdd<em>HHmmss"
$exportPath = ".\IllegalSamAccounts</em>$timestamp.csv"
$badAccounts | Export-Csv -Path $exportPath -NoTypeInformation -Encoding UTF8
Write-Host "✅ 已导出 $($badAccounts.Count) 个疑似非法账号到：$exportPath" -ForegroundColor Green
</p>