Роман Безруков

Get-User -Filter {MemberOfGroup -eq } | Set-Mailbox...

Так то необязательно закидывать адреса в OU или группу безопасности - достаточно файла со списком адресов, потом этот список конвейером передаёте в Set-Mailbox.

WShell.Run "application.exe", 0, true
Проверяйте...

CanonicalName - вычисляемый атрибут (constructed attribute), такие атрибуты не хранятся явным образом в AD, а вычисляются на лету при получении соответствующих запросов. Соответственно, не могут напрямую использоваться в фильтрах и запросах.
Ваш запрос должен выглядеть примерно так:
Get-ADUser -Filter "(saMAccountName -notlike '*off_user*') -or (saMAccountName -notlike '*service*')" -Properties CN,CanonicalName | where{$_.distinguishedname -notmatch "exOU1|exOU2|exOU3"} | ft CN,CanonicalName -auto

LDAP_AUTH_OBJECT_CLASS = "Users"

в LDAP этот класс обычно просто user (objectclass = user)

LDAP_AUTH_USER_LOOKUP_FIELDS = ("username",)

если я правильно понимаю, Вы пытаетесь получить атрибут "username", которого нет. Сдается мне, что здесь должен быть sAMAccountName

Используйте параметры SearchBase (откуда начинать поиск) и SearchScope (область поиска - Base, OneLevel или SubTree)