10 个 Active Directory 清理最佳实践

在本指南中，我分享了如何执行有效的 Active Directory 清理的最佳实践，包括针对用户、计算机、组和 OU 的清理技巧。

Active Directory 清理是每个管理员都应该执行的一项重要任务，我建议每 30 天运行一次。

不活动的用户和计算机帐户可能会导致网络中出现安全漏洞。不良行为者可以使用这些帐户访问您的网络、窃取数据并损坏您的系统。此外，如果您不定期进行 AD 清理，您的 Active Directory 将变得一团糟。

让我们开始吧。

1. 删除帐户前先禁用帐户 90 天

不要只是开始从 Active Directory 中删除用户和计算机。用户或计算机帐户可能看起来不活动但实际上仍然可能是有效帐户的原因有很多。对于组和组策略也是如此。有关此内容的更多详细信息如下。

最好先禁用帐户一段时间，例如 90 天，然后再删除它们。 90 天后，如果没有人尖叫，那么您可以删除该帐户。

我曾在有很多临时工和合同工的环境中工作过。有时，这些用户几个月不登录，或者一年中只工作几个月。我已经多次删除这些类型的帐户，并且不得不重新创建它们。

我喜欢做的是禁用帐户并将它们移至名为“非活动”的 OU。这样任何人都可以轻松查看清理过程中已禁用的所有帐户。

操作步骤：

您可以使用 AD 清理工具批量禁用和移动帐户。如果您没有此工具，可以单击此处下载免费试用版。

选择要禁用的帐户并单击禁用按钮。要移动帐户，请选择“移动”按钮。

我还喜欢将日期和缩写添加到描述字段。这样，如果有人对帐户被禁用的原因有疑问，他们就知道该问谁。

2. 查找过去 90 天内不活跃的用户

不活动的用户可以通过lastLogonTimestamp 属性来识别。该属性被复制到所有域控制器，但有延迟（非实时）。 Microsoft 添加此属性的目的是查找不活动的用户和计算机帐户。用户的 LastLogonTimestamp 未更新的原因可能有很多。这包括在远程站点或在家工作、他们正在度假、可能他们使用缓存的凭据或使用 VPN 登录。

出于这些原因和许多其他原因，我建议搜索 LastLogonTimestamp 至少在 90 天内未更新的帐户。但要做好准备，也会有例外。会有一名实习生、合同工或休长假的用户，他们是有效员工，但不经常登录。您需要保留这些用户的列表，并将他们排除在清理过程之外。

操作步骤：

使用 AD 清理工具在选项框中输入 90 天，然后单击运行。这将显示至少 90 天内没有登录活动的所有帐户。

3.查找过去 90 天内不活动的计算机

不活动的计算机也可以通过lastLogonTimestamp 属性来标识。

我建议搜索 LastLogonTimestamp 至少在 90 天内未更新的计算机帐户。

与用户一样，计算机可能不更新lastLogonTimestamp 但成为活动计算机的原因有很多。

当我在当地政府工作时，他们的警车里有 4G 连接。这些计算机是加入域的计算机，但它们在本地登录到计算机。因此，计算机通常不会连接到域，因此 LastLogonTimstamp 可能会持续数月而不更新。我们必须将这些笔记本电脑排除在清理过程之外。

在家工作使这一点变得具有挑战性，因为许多用户从未连接过 VPN。我们要求这些用户连接或进入办公室，以确保他们的笔记本电脑能够更新。

操作步骤：

默认情况下，AD 清理工具将显示不活动的用户和计算机。如果您只想查看不活动的计算机，请单击过滤器并取消选中用户。然后在“禁止登录”框中输入 90 天，然后单击“运行”。

4. 查找没有登录历史记录的帐户

你一定会对这个感到惊讶！

没有登录历史记录的帐户是指在lastLogonStamp 字段中没有日期的帐户。第一次看到这个报告的时候我很震惊，为什么会有这么多账户从未被使用过？最常见的原因是新员工在第一天就没有出现或辞职。

搜索这些帐户时，您还需要查看whenCreated 属性。如果lastLogonTimestamp 为空并且whenCreated 是在几天之内，您可能不想禁用该帐户。我建议对此报告上的whenCreated 属性使用90 天规则。

操作步骤：

在 AD 清理工具中，单击过滤器并选择没有登录历史记录的用户。确保选项框未被选中。没有登录历史记录的帐户将在lastlogonTimeStamp 列中显示从不登录。

在上面的屏幕截图中，您可以看到我有几个没有登录历史记录的帐户。然后，我检查“whenCreated”列，发现这些帐户是在 90 多天前创建的，因此可以安全地禁用它们。

5.查找过期的用户帐户

过期帐户是指在用户帐户页面上设置为过期的帐户。除非更改到期日期或将其设置为永不，否则无法使用这些帐户。过期的帐户经常被查看或遗忘。

这些人通常是合同工、临时工（暑期项目）、审计员等。当我知道某个帐户是临时帐户时，我通常会为其设置到期日期，这样它们就会自动禁用。

操作步骤：

要查找所有过期用户，请单击过滤器并选择过期用户。

由于帐户已过期且无法使用，我将继续禁用它们。我认为不需要等待 90 天才能禁用这些帐户。

6. 密码较弱或无密码的帐户

您想要搜索具有以下设置的帐户：

• 不需要密码的用户 - 我不知道为什么这是一个选项，但帐户可以配置为接受空白密码。这是一种非常糟糕的安全做法，需要禁用。
• 密码设置为永不过期的用户 - 用户帐户密码应经常更改。您需要找到配置为从不更改密码的帐户并修复它们。
• 使用旧密码的管理员 - 应审查域管理员等特权帐户，以确保他们经常更改密码。

操作步骤：

使用 AD Pro Toolkit 单击“报告”->“用户”。滚动到“密码状态”部分，然后选择要运行的报告之一。

使用旧密码的管理员报告位于报告 -> 安全下

7. 查找空的 Active Directory 组

您有多少次创建了一个群组但从未使用过它？或者出于测试原因创建了一个组，但在测试完成后从未将其删除。这种情况经常发生。当您有多个管理员在 Active Directory 中工作时，您最终可能会得到许多未使用的空组。

您应该检查域中的空组，如果不需要，请将其删除。

警告：有很多内置组默认没有成员，请勿删除默认组。

操作步骤：

使用 AD 清理工具，单击过滤器，然后选择显示组和没有成员的组。

你可以在上面看到我有几个空组。

我喜欢做的就是导出此列表并将其通过电子邮件发送给我的团队进行审核。也许另一位管理员正在使用其中一个，最好在删除它们之前进行检查。

我经常被问到如何找到不活跃的群组。据我所知，没有简单的解决方案。您必须扫描您的网络（文件夹、应用程序、系统）并检查是否正在使用某个组。如果您知道这篇文章的解决方案，请在下面发表评论。

8. 库存组和组织单位

清理团体和组织单位并不容易。在拥有数千个用户和域对象的大型组织中尤其如此。

在深入删除组和 OU 的兔子洞之前，我建议运行一些关于您拥有的对象的报告。您可以导出这些报告，然后与其他团队成员一起查看。

我发现有用的一份报告是列出所有 OU 和对象计数。我经常发现许多 OU 中包含 0 个对象。这些可能是您可以删除的一些 OU。

操作步骤：

单击报告 -> OU 并运行所有 OU 和对象计数报告。

您可以在上面看到我有几个 OU，其中没有对象。我创建这些是为了测试，但目前尚未使用。

9. 自动清理 Active Directory

我建议每 30 天运行一次 Active Directory 清理。您可以手动运行所有清理步骤，但自动化会更有效，而且会节省您大量时间。

目前，该工具包包括多个可以自动生成并按计划通过电子邮件发送给您的报告。另一种方法是创建 PowerShell 脚本并使用任务计划程序按计划运行它。

10. 传达 Active Directory 帐户更改

真实的故事。

几年前，当我第一次开始删除旧用户和计算机帐户时，我没有与任何人沟通。禁用帐户后不久，帮助台会打电话说“该用户无法登录”，我重置了他们的密码，但用户仍然无法登录。哦！是的，我禁用了该帐户，我认为它没有被使用。由于我禁用了该帐户，帮助台浪费了很多时间来解决此问题。

计算机帐户也有同样的问题。帮助台会打电话说用户无法登录。我花了几个小时对计算机进行故障排除，但没有成功。嗯……哦，是的，我禁用了他们的计算机。

当您禁用 AD 帐户时，我建议您将列表导出到 Excel 并通过电子邮件将其发送给所有系统管理员、IT 技术人员和帮助台。这样他们就能知道您已禁用的帐户，并且无需花费数小时对其进行故障排除。

操作步骤：

使用 AD Pro Toolkit，您可以通过单击导出按钮轻松导出任何报告。

这就是我的 Active Directory 清理最佳实践列表。我希望您觉得这篇文章有用，请在下面发表任何评论或问题。

清理并保护您的 Active Directory

使用 AD Pro 清理工具

相关内容：

• 组策略清理指南
• 14 个必须拥有的 Active Directory 管理工具