PowerShell批量管理AD域用户核心是ActiveDirectory模块+CSV数据源，需先确认模块就位、权限充足；导入用Import-Csv | ForEach-Object { New-ADUser @params }，修改用Enable-ADAccount/Set-ADUser/Move-ADObject等，所有写操作须预过滤、加日志、测试OU验证。
用 PowerShell 批量管理 AD 域用户，核心是借助 ActiveDirectory 模块的一组标准化 cmdlet，配合 CSV 数据源和简单逻辑，把重复操作变成几行命令。关键不在“会不会写脚本”，而在“数据准备是否规范”和“权限环境是否就绪”。
先确保环境能跑起来
脚本再好，没模块、没权限也白搭：
- 在域控或已装 RSAT 的域内电脑上，以管理员身份打开 PowerShell
- 运行
Get-Module -ListAvailable -Name ActiveDirectory，有输出说明模块已就位 - 若提示未找到，Windows 10/11 去「设置 → 可选功能 → 添加功能」，搜索安装 RSAT: Active Directory 域服务和轻量级目录服务工具
- 执行脚本的账户必须对目标 OU 有 创建、修改、删除用户 权限（通常需域管理员或 OU 管理员权限）
批量导入用户：从 CSV 到 AD 一步到位
HR 给你一个 Excel 表？导出为 UTF-8 编码的 CSV，字段名首行必须匹配 AD 属性，例如：SamAccountName,GivenName,Surname,DisplayName,Department,EmailAddress,Path,AccountPassword
-
Path字段填完整 OU 路径，如"OU=IT,DC=corp,DC=contoso,DC=com" -
AccountPassword必须是 SecureString，脚本里要用ConvertTo-SecureString转换 - 核心命令就是
Import-Csv users.csv | ForEach-Object { New-ADUser @params }，其中@params把 CSV 字段映射到New-ADUser参数 - 首次运行建议加
-WhatIf参数预览，确认无误再删掉它真正执行
批量修改与清理：不只是增删
日常运维更多是调整和收尾：
- 统一启用账号：
Get-ADUser -Filter "Enabled -eq 'False'" -SearchBase "OU=Temp,DC=corp,DC=com" | Enable-ADAccount - 强制下次登录改密码：
Set-ADUser -Identity "jdoe" -ChangePasswordAtLogon $true - 按条件移动用户：
Get-ADUser -Filter "Department -eq 'Finance'" | Move-ADObject -TargetPath "OU=Finance,DC=corp,DC=com" - 批量禁用离职人员：
Import-Csv leavers.csv | ForEach-Object { Disable-ADAccount -Identity $_.SamAccountName }
安全与容错不能省
批量操作一旦出错，影响面大，必须留退路：
- 所有写操作前，先用
Get-ADUser或Where-Object过滤确认对象范围，避免误操作 - 敏感操作如删用户，务必加上
-Confirm:$false显式关闭交互确认，并搭配日志记录：Out-File -FilePath .\user_delete_log.txt -Append - 密码重置等涉及凭据的操作，避免明文出现在脚本中；使用
Read-Host -AsSecureString交互输入或从受保护的密钥库读取 - 建议在测试 OU 中先试跑一小部分数据，验证逻辑和权限无误再全量执行
