powershell管理ad安全组的核心是实现建组、查组、加人、删人、改属性的可复用、批量、审计化操作：按用途分层命名（如role_hr_editor），用new-adgroup创建全局安全组并指定ou路径；用add-adprincipalgroupmembership批量加人，注意权限边界；用get-adgroupmember查成员并导出，remove-adgroupmember移除用户；用set-adgroup修改属性，结合ou委派实现管理员自助管理。
用 powershell 管理 ad 域安全组，核心是把“建组、查组、加人、删人、改属性”变成可复用、可批量、可审计的操作。不需要点鼠标，一条命令就能完成过去几分钟的手工动作。
创建和分类安全组
安全组不是随便起个名就完事的。建议按用途分层命名，比如 Role_HR_Editor（角色组）、Access_ProjectX（资源组）、Common_Wifi（通用组）。这样后期权限梳理和策略绑定才清晰。
- 新建全局安全组： New-ADGroup -Name "Role_IT_Support" -GroupScope Global -GroupCategory Security -Path "OU=Groups,DC=contoso,DC=com" -Description "IT一线支持人员权限组"
- 组作用域选对很关键：跨域要用 Universal，纯本域管理用 Global 就够；DomainLocal 适合给文件服务器或打印机这类资源直接赋权
- 务必指定 -Path 参数，把组放进统一的 Groups OU 下，避免散落在根目录里难查找
批量添加用户到安全组
新员工入职时，往往要同时加入多个组——部门组、职位组、系统访问组。手动一个个加容易漏，用脚本一次到位。
- 给单个用户加多个组： Add-ADPrincipalGroupMembership -Identity "zhangsan" -MemberOf "Role_HR_Editor", "Access_HRShare", "Common_Printers"
- 批量导入 CSV 用户列表并加组： 先准备 CSV，含 SamAccountName 列；再用 Import-Csv + Foreach-Object 循环执行加组命令
- 注意权限边界：运行脚本的账户必须对目标组有“写入成员”权限，否则会报错“拒绝访问”
检查与清理组成员关系
时间一长，组里容易混进离职人员、测试账号或错误归属的用户。定期核对能防权限扩散风险。
- 查看某组所有成员： Get-ADGroupMember -Identity "Access_FinanceShare" | Select-Object Name, ObjectClass
- 导出为 Excel 方便人工复核： Get-ADGroupMember "Role_Manager" | Export-Csv C:\Reports\Managers.csv -NoTypeInformation
- 从组中移除指定用户（不删账号本身）： Remove-ADGroupMember -Identity "Common_TempAccess" -Members "testuser01" -Confirm:$false
修改组属性与委派管理
组建好了不是一成不变的。岗位调整、权限收口、责任人变更，都需要更新组信息。
- 改描述、改显示名、指定管理员： Set-ADGroup -Identity "Role_HR_Editor" -Description "HR编辑岗（含招聘+薪酬模块）" -ManagedBy "CN=HR-Admin,OU=Groups,DC=contoso,DC=com"
- 启用组的“管理者可以更新成员”选项（需配合 ADUC 图形界面勾选，PowerShell 无法直接设该标志）
- 若想让部门主管能自行管理本部门组，可在 OU 层级委派“管理组对象”权限，无需给域管理员权限
