我注意到，我们在Active Directory中拥有比公司拥有实际员工更多的用户。
有一个简单的方法来检查多个Active Directory帐户，看看是否有一段时间没有使用的帐户？ 这应该帮助我确定是否应该禁用或删除某些帐户。
O'Reiley的活动目录食谱在第6章给出了一个解释：
6.28.1问题：你想确定哪些用户最近没有login。
6.28.2解决scheme
6.28.2.1使用graphics用户界面
6.28.2.2使用命令行界面
dsquery user -inactive <NumWeeks>
要获得更多信息，请参阅配方6.28
该脚本来自http://synjunkie.blogspot.com/2008/08/powershell-finding-unused-ad-accounts.html ; 此url在2015年12月7日之后不再有效。您可以将此信息输出到CSV文件，您可以在Excel中查看/过滤该文件。
get-qaduser * -sizelimit 0 | select -property name,accountexpires,pass*,accountisdisabled,lastlog*,canonicalname | export-csv -path d:\Passwords.csv 值得注意的是，每个域控制器上存储的最后一次login时间不会在域控制器之间复制，实际上有两个属性存储最后一次login时间，一个是复制的，但每14个（我认为）。 如果准确的时间对您很重要，我会使用第三方工具来查询每个域控制器（我们有90个！），我们使用了一个名为True Last Logon的工具，我可以推荐它。
我使用DumpSec，一个从Somarsoft的免费软件工具： DumpSec有用的，以find陈旧的电脑帐户:)
在您完成此过程时，请logging您的运行步骤以及您禁用/删除的帐户。 在某个时候，审计师会问你如何删除旧帐户，你需要的文件。
一个非常快速和肮脏的方法/build议：
将每个可疑帐户的密码设置为过期，并在下次login时要求重置。 在每个帐户的说明字段中放置一个星号。 等待一个星期左右，重新检查您的标记帐户，看看哪些仍然需要密码重置。 禁用罪犯，等待帮助台电话，重新启用休假的。
另一个：
或者，您也可以向您的人力资源部/人事部门发送一个可疑用户列表，看看他们中的任何一个是否会确认他们实际上仍然在工作。
多一个：
最后，我相信如果您打开“Active Directory用户和计算机”并展开AD查询工具，则可以创build一个查询来详细说明您正在查找的内容。