自动化清理AD域中非活动用户

 当员工离职时，他们的帐户仍会保留在Active Directory（AD域）中，如果不刻意关注则较难发现。该帐密一直保存，这也成为了潜在危害。为了安全起见，企业应对不活动或过期用户帐户进行清理。

Microsoft允许管理员使用用户和计算机（ADUC）工具中的查询功能来跟踪不活动用户。管理员可以创建一个查询，并根据上次登录时间设置该账户闲置情况，如图1所示。

 

图1. Microsoft查询功能列出非活动用户

从非活动用户列表中可以看到，管理员可以为单个用户执行任务，如“禁用帐户”、“重置帐户”和“移动账户”。但如果要进行批量用户操作则会受到限制，也无法将历史操作数据生成报告通知您。如图2所示。

 图2.可以使用ADUC工具对非活动用户帐户执行操作

完美的解决方案可以使管理员做到这些：

1、针对特定时间未登录用户生成“非活动用户”报告。如图3所示。

 图3.在ADManager Plus中生成“非活动/休眠用户”报告

2、以易用的格式导出报告（CSV/PDF/XLSX/HTML/CSVDE..），方便管理员采取管理操作，包括批量管理、增删改查等。如图4所示。

 图4.在ADManager Plus中对用户帐户执行批量修改

3、每天或每周自动生成AD报表，然后将其发送至您邮箱中。

4、自动化日常任务：您可以自己配置一个策略，该策略可以从“不活动用户”报表中获取帐户，并自动移动到单独OU，被禁用后，如果仍处于不活动状态，后续可以自动删除。如图5所示。

图5.在ADManager Plus中配置自动化策略

这就是关键，ADUC无法完成上述所有任务，但是ADManager Plus却可以。正常情况下，ADUC只能对单个AD账户进行管理，而使用ADManager Plus，管理员可以直接从报表中对多个帐户进行批量操作，如增删改查，还可以为多个用户重置密码，自主配置计划清除不活动用户。这样不仅大大简化了管理员的工作，也能让管理员专注其它任务。