Cách vô hiệu hóa tài khoản người dùng không hoạt động bằng PowerShell

Tài khoản người dùng Active Directory (AD) không hoạt động có thể gây rủi ro bảo mật cho tổ chức, trong các tình huống như khi nhân viên cũ vẫn có tài khoản hoạt động nhiều tháng sau khi rời công ty do bộ phận nhân sự không thông báo cho bộ phận CNTT hoặc tài khoản có thể được tạo cho một mục đích cụ thể nhưng không bao giờ được tạo. đã bị xóa sau sự kiện này. Bất kể lý do tồn tại của những tài khoản đó là gì, Active Directory có thể nhanh chóng vượt khỏi tầm kiểm soát, từ đó khiến hệ thống của bạn khó kiểm tra hơn và kém an toàn hơn.

Mô-đun Active Directory cho PowerShell

Mô-đun PowerShell dành cho Active Directory cho phép quản trị viên hệ thống truy vấn Active Directory và tạo báo cáo bằng cách sử dụng dữ liệu kết quả. Mô-đun AD cho PowerShell được cài đặt theo mặc định trên bộ điều khiển miền Windows Server 2012 hoặc bạn có thể tải xuống Công cụ quản trị máy chủ từ xa (RSAT) cho Windows 8.1 và cài đặt mô-đun bằng lệnh bên dưới.

Đăng nhập với tư cách quản trị viên cục bộ, mở lời nhắc PowerShell, nhập mã bên dưới và nhấn ENTER để cài đặt mô-đun AD cho PowerShell:

Install-WindowsFeature RSAT-AD-PowerShell

Tìm kiếm tài khoản không hoạt động trong Active Directory

Lệnh ghép ngắn Search-ADAccount cung cấp một cách dễ dàng để truy vấn Active Directory đối với các tài khoản người dùng không hoạt động:

Search-ADAccount –UsersOnly –AccountInactive

Lệnh trên trả về tất cả các tài khoản không hoạt động. Để thu hẹp kết quả vào một phạm vi thời gian cụ thể, bạn có thể thêm thông số -TimeSpan vào Search-ADAccount. Trong ví dụ bên dưới, một biến xác định giá trị cho tham số -TimeSpan, sử dụng lệnh ghép ngắn New-Timespan để đơn giản hóa việc nhập liệu:

$timespan = New-Timespan –Days 90
Search-ADAccount –UsersOnly –AccountInactive –TimeSpan $timespan

Ngoài ra, bạn có thể chỉ định tham số -DateTime để trả về các tài khoản không hoạt động kể từ một ngày nhất định. Trong lệnh tiếp theo, các tài khoản không hoạt động kể từ ngày 5 tháng 5^th năm 2014 sẽ được trả về:

Search-ADAccount –UsersOnly –AccountInactive -DateTime ‘5/20/2014’

Để có thêm thông tin thân thiện với người dùng về các tài khoản, hãy chuyển kết quả sang lệnh ghép ngắn Get-ADUser rồi chọn các cột để hiển thị trong đầu ra bằng cách sử dụng Chọn:

Search-ADAccount –UsersOnly –AccountInactive | Get-ADuser -Properties Department,Title | Select Name,Department,Title,DistinguishedName

Các kết quả cũng có thể được sắp xếp theo một trường được chỉ định, trong ví dụ này theo thuộc tính LastLogOnDate, bắt nguồn từ LastLogonTimestamp và được chuyển đổi thành định dạng có thể đọc được:

Search-ADAccount –UsersOnly –AccountInactive | Get-ADuser -Properties Department,Title | Sort LastLogOnDate | Select Name,Department,Title,DistinguishedName

Cần lưu ý rằng không giống như thuộc tính LastLogOn, LastLogonTimestamp được đồng bộ hóa giữa các bộ điều khiển miền, nhưng có thể lỗi thời từ 9 đến 14 ngày, vì vậy bạn nên lưu ý điều này khi xử lý kết quả của bạn.

Một cách khác để đơn giản hóa kết quả đầu ra và đếm số lượng người dùng không hoạt động là chuyển kết quả sang lệnh ghép ngắn Measure:

Search-ADAccount –UsersOnly –AccountInactive –TimeSpan $timespan | Measure

Giống như bất kỳ lệnh ghép ngắn PowerShell nào khác, kết quả có thể được chuyển sang Out-GridView hoặc tới tệp được phân cách bằng dấu phẩy để có thể nhập kết quả vào Excel.

Search-ADAccount –UsersOnly –AccountInactive –TimeSpan $timespan | Out-GridView

Vô hiệu hóa tài khoản không hoạt động

Khi bạn đã có được tập hợp kết quả mà mình đang tìm kiếm, tất cả những gì bạn cần làm là chuyển chúng vào lệnh ghép ngắn Disable-ADAccount như hiển thị ở đây để vô hiệu hóa tài khoản:

Search-ADAccount –UsersOnly –AccountInactive –TimeSpan $timespan | Disable-ADAccount

Netwrix Auditor bao gồm khả năng phát hiện và vô hiệu hóa các tài khoản người dùng không hoạt động trên tất cả các phiên bản Windows được hỗ trợ và kết quả được tích hợp vào cơ sở dữ liệu, các tính năng báo cáo và thông báo của sản phẩm để không cần phải chạy và duy trì các tập lệnh bổ sung. Netwrix Auditor có thể vô hiệu hóa các tài khoản không hoạt động, đặt mật khẩu ngẫu nhiên, di chuyển tài khoản đến Đơn vị tổ chức (OU) được chỉ định hoặc xóa tài khoản.

Bây giờ là lúc để lại ý kiến của bạn trong cuộc thăm dò dưới đây. Hãy nhớ rằng chỉ có một câu trả lời đúng!