AD User Cleanup 是一款面向系统管理员的自动化…

# AD不活跃账号清理脚本（90天未登录）

一、脚本实现

```powershell

# 导入AD模块

Import-Module ActiveDirectory

# 计算截止时间

$cutoff = (Get-Date).AddDays(-90)

# 查找Finance OU下超过90天未登录的账号

$inactiveUsers = Get-ADUser -SearchBase "OU=Finance,DC=corp,DC=local" `

-SearchScope Subtree `

-Filter {Enabled -eq $true -and LastLogonDate -lt $cutoff -and LastLogonDate -ne $null} `

-Properties LastLogonDate, DisplayName |

Select-Object SamAccountName, DisplayName, LastLogonDate

# 输出日志（先记录再操作，便于审计回溯）

$reportPath = "C:\Logs\Inactive_AD_$(Get-Date -Format 'yyyyMMdd_HHmmss').csv"

$inactiveUsers | Export-Csv $reportPath -NoTypeInformation -Encoding UTF8

# 逐个禁用并移动到DisabledUsers OU

foreach ($user in $inactiveUsers) {

try {

Disable-ADAccount -Identity $user.SamAccountName -ErrorAction Stop

Move-ADObject -Identity $user.DistinguishedName `

-TargetPath "OU=DisabledUsers,DC=corp,DC=local" -ErrorAction Stop

Write-Host "已处理：$($user.SamAccountName)" -ForegroundColor Green

}

catch {

Write-Host "处理失败：$($user.SamAccountName) - $($_.Exception.Message)" -ForegroundColor Red

}

}

Write-Host "共处理 $($inactiveUsers.Count) 个账号，报告已保存至 $reportPath"

```

二、关键注意事项

• LastLogonDate为近似值：该属性来自DC复制，可能有最多14天误差；若要求精确需查询所有DC的lastLogon属性
• 排除服务账号：建议脚本中排除特定命名（如svc_、_sa开头），避免误禁服务账号导致业务中断
• 先跑测试模式：首次执行建议注释掉Disable-ADAccount和Move-ADObject两行，只看输出名单是否准确
• 权限要求：运行账号需具备目标OU的禁用与移动权限（Domain Admin或委派权限）
• 共享账号风险：财务部可能存在共用的系统对接账号，确认后可加入排除名单
• 恢复预案：DisabledUsers OU中的账号保留邮件、SID历史，必要时可重新启用

三、建议执行策略

1. 先导出CSV人工审核名单

2. 与财务部负责人确认无误禁账号

3. 低峰期正式执行，保留日志归档