Ezt ldapsearch-el is megcsinálhatod, lehozod az összes ou-t, aztán kiszűröd belőle lokálisan, ami nem kell. A powershell nem okosítja fel az AD szervert.