如何从 Active Directory (AD) 中的所有访问组中删除用户作为成员

Question

我想从 AD 中所有访问组的成员资格中删除用户。某些访问组属于另一个域。下面是我的代码，但它不起作用，并且收到错误消息“Remove-ADGroupMember：从服务器返回了引用”。 下面是我的代码：

#getting the decommissioned account user name
$StoreName = Read-Host -Prompt 'Enter the Store name'
$ADStore  =  Get-ADUser -Identity $StoreName -Server hostname.abc.def.com.au
#statement to strip the access groups from the store account
Get-ADUser -Identity $ADStore -Properties MemberOf | ForEach-Object { $_.MemberOf | Remove-ADGroupMember -Members $_.DistinguishedName -Confirm:$false }

必须注意，某些访问组属于托管在另一台服务器“hostname02.def.com.au”上的域“def.com.au”

Answer 1

Active Directory 上下文中的错误消息“从服务器返回引用”始终意味着以下内容：

您连接的域控制器不对您尝试检索的操作或对象负责。您将被“引用”到另一个域中的域控制器。

这意味着对于您自己的域之外的那些组，您必须明确指定目标域控制器。

Remove-ADGroupMember -Server "hostname02.def.com.au" [...]

当然你还需要确保当前执行用户有在其他域中进行操作的权限。如果情况并非如此，您可能需要拆分脚本逻辑，以便在您的域中运行一次，在其他域中运行一次。