我注意到,我们在Active Directory中拥有比公司拥有实际员工更多的用户。
有一个简单的方法来检查多个Active Directory帐户,看看是否有一段时间没有使用的帐户? 这应该帮助我确定是否应该禁用或删除某些帐户。
O'Reiley的活动目录食谱在第6章给出了一个解释:
6.28.1问题:你想确定哪些用户最近没有login。
6.28.2解决scheme
6.28.2.1使用graphics用户界面
6.28.2.2使用命令行界面
dsquery user -inactive <NumWeeks>
要获得更多信息,请参阅配方6.28
该脚本来自http://synjunkie.blogspot.com/2008/08/powershell-finding-unused-ad-accounts.html ; 此url在2015年12月7日之后不再有效。您可以将此信息输出到CSV文件,您可以在Excel中查看/过滤该文件。
get-qaduser * -sizelimit 0 | select -property name,accountexpires,pass*,accountisdisabled,lastlog*,canonicalname | export-csv -path d:\Passwords.csv
值得注意的是,每个域控制器上存储的最后一次login时间不会在域控制器之间复制,实际上有两个属性存储最后一次login时间,一个是复制的,但每14个(我认为)。 如果准确的时间对您很重要,我会使用第三方工具来查询每个域控制器(我们有90个!),我们使用了一个名为True Last Logon的工具,我可以推荐它。
我使用DumpSec,一个从Somarsoft的免费软件工具: DumpSec有用的,以find陈旧的电脑帐户:)
在您完成此过程时,请logging您的运行步骤以及您禁用/删除的帐户。 在某个时候,审计师会问你如何删除旧帐户,你需要的文件。
一个非常快速和肮脏的方法/build议:
将每个可疑帐户的密码设置为过期,并在下次login时要求重置。 在每个帐户的说明字段中放置一个星号。 等待一个星期左右,重新检查您的标记帐户,看看哪些仍然需要密码重置。 禁用罪犯,等待帮助台电话,重新启用休假的。
另一个:
或者,您也可以向您的人力资源部/人事部门发送一个可疑用户列表,看看他们中的任何一个是否会确认他们实际上仍然在工作。
多一个:
最后,我相信如果您打开“Active Directory用户和计算机”并展开AD查询工具,则可以创build一个查询来详细说明您正在查找的内容。