Windows域中非法SamAccountName指含禁用字符（如/\[]:;|=,+*?）、长度超20、为空或以点/连字符等开头结尾的账号；PowerShell脚本可扫描导出此类账号并支持UPN和DisplayName补充检查。
powershell 本身不直接定义“非法域账号”，但 windows 域（active directory）对安全主体名称（如 samaccountname、userprincipalname）有明确的字符限制。所谓“带有特殊字符的非法域账号”，通常指：samaccountname 中包含 ad 明确禁止的字符（如 / \ [ ] : ; | = , + * ? ），或长度超限（>20 字符）、为空、以点或空格开头/结尾等。这些账号虽可能因历史原因或非标准方式创建而存在，但会引发组策略、脚本、第三方工具兼容性问题。
确认 AD 中哪些字符在 SamAccountName 中被禁止
AD 官方文档明确 SamAccountName 必须符合以下规则：
- 仅允许字母（a–z, A–Z）、数字（0–9）、连字符（
-）、下划线（_）、美元符（$） - 不能以点（
.）、连字符（-）、下划线（_）或美元符（$）开头或结尾 - 不能包含空格、制表符、换行符等不可见字符
- 不能包含以下任一字符：
/ \ [ ] : ; | = , + * ? - 最大长度为 20 个字符
用 PowerShell 扫描并导出疑似非法账号（基于 SamAccountName）
使用 Get-ADUser 遍历所有启用用户，结合正则表达式和字符串检查逻辑筛选异常项。以下是一段可直接运行的脚本（需在域控制器或装有 RSAT-AD-PowerShell 的管理机上以域管理员权限执行）：
# 加载模块（若未加载）
Import-Module ActiveDirectory -ErrorAction SilentlyContinue
<h1>定义非法字符模式（含控制字符、空格、及 AD 禁止符号）</h1><p>$illegalPattern = '[^\w-$.]|^[.-\$<em>]|[.-\$</em>]$|[\x00-\x1F\x7F]| {2,}|^ | $|^$'</p><h1>补充检查：长度 >20 或为空</h1><p>$users = Get-ADUser -Filter {Enabled -eq $true} -Properties SamAccountName, UserPrincipalName, DistinguishedName -ResultSetSize $null</p><p>$badAccounts = @()
foreach ($u in $users) {
$sam = $u.SamAccountName
if (-not $sam -or $sam.Length -gt 20 -or $sam -match $illegalPattern) {
$badAccounts += [PSCustomObject]@{
SamAccountName = $sam
UserPrincipalName = $u.UserPrincipalName
DistinguishedName = $u.DistinguishedName
Reason = if (-not $sam) { "Empty SamAccountName" }
elseif ($sam.Length -gt 20) { "Length > 20" }
elseif ($sam -match '\x00|\x01|\x02|\x03|\x04|\x05|\x06|\x07|\x08|\x09|\x0A|\x0B|\x0C|\x0D|\x0E|\x0F|\x10|\x11|\x12|\x13|\x14|\x15|\x16|\x17|\x18|\x19|\x1A|\x1B|\x1C|\x1D|\x1E|\x1F|\x7F') { "Contains control characters" }
elseif ($sam -match ' ') { "Contains space" }
elseif ($sam -match '[/\[]:;|=,+*?<>\x00-\x1F\x7F]') { "Contains banned printable chars" }
elseif ($sam -match '^[.-\$<em>]|[.-\$</em>]$') { "Starts or ends with . - _ $" }
else { "Unknown pattern match" }
}
}
}</p><h1>导出到 CSV（含时间戳，便于归档）</h1><p>$timestamp = Get-Date -Format "yyyyMMdd<em>HHmmss"
$exportPath = ".\IllegalSamAccounts</em>$timestamp.csv"
$badAccounts | Export-Csv -Path $exportPath -NoTypeInformation -Encoding UTF8
Write-Host "✅ 已导出 $($badAccounts.Count) 个疑似非法账号到：$exportPath" -ForegroundColor Green
额外建议：同时检查 UPN 和显示名中的可疑字符
虽然 SamAccountName 是主要校验对象，但实际运维中 UserPrincipalName（UPN）和 DisplayName 若含非法字符（如 @ 符号错误、不可见 Unicode、URL 编码残留），也可能导致登录失败或同步异常。可在上述脚本中追加类似判断：
- UPN 格式应为
user@domain.com；检查是否含多个 @、无 @、含空格或控制字符 - DisplayName 检查是否为空、全空格、含零宽空格（U+200B）、软连字符（U+00AD）等隐蔽非法字符
- 使用
[System.Text.Encoding]::UTF8.GetBytes($str)可辅助检测非 ASCII 控制字节
导出后下一步：验证与清理需谨慎
导出结果仅为线索，切勿直接批量禁用或删除。应逐条确认：
- 该账号是否真实存在且仍在使用（查登录日志、邮箱活动、服务依赖）
- 是否为系统内置账户（如
krbtgt、Administrator，它们可能含 $ 但合法） - 是否由旧版应用（如 SAP、Oracle E-Business）创建的兼容性账号
- 修改前务必备份 AD 数据，并在测试环境验证重命名流程（
Rename-ADObject）
