清理不活跃域账号的核心逻辑是精准识别+安全兜底：组合LastLogonTimestamp、PasswordLastSet、保护组、账号类型等多维判断，分扫描-确认-处置三阶段执行，脚本须含作用域限制、参数化阈值、白名单排除、-WhatIf预览及错误隔离，并闭环审计。

清理不活跃域账号的核心逻辑是：定位长期未登录、无关键属性、且未被保护的账号，经确认后禁用或删除。关键不在“自动删”，而在“精准识别+安全兜底”。

一、判断“不活跃”的真实依据

仅靠最后登录时间容易误杀——比如服务账号、批量任务账号可能几个月不交互但必须存活。应组合多个维度：

• 最后交互登录时间（LastLogonTimestamp，域内复制延迟容忍，推荐用该属性而非LastLogon）
• 密码最后设置时间（PasswordLastSet，判断是否被遗忘或弃用）
• 账户启用状态 + 是否为系统/内置账号（跳过Administrator、krbtgt、Guest等）
• 是否在关键保护组中（如Domain Admins、Protected Users、自定义的“保留账号组”）
• 描述字段或UserPrincipalName是否含标识符（如svc_、app_、test-，辅助人工复核）

二、分阶段执行，避免误操作

生产环境严禁“发现即删”。推荐三阶段流程：

• 扫描阶段：导出候选账号列表（含DN、描述、最后登录时间、所属OU、组成员关系），输出CSV供审核
• 确认阶段：邮件通知账号所属部门/管理员，设置5–10个工作日反馈期；同步标记账号描述为[待清理-YYYYMMDD]便于追踪
• 处置阶段：超期无异议则禁用（Disable-ADAccount），保留30–90天后再删除；全程记录操作日志（谁、何时、对哪个账号、执行了什么）

三、PowerShell脚本关键控制点

以下逻辑必须嵌入脚本，不可省略：

• 作用域限制：明确指定搜索OU（如-SearchBase "OU=Inactive,DC=contoso,DC=com"），禁止全域扫描
• 时间阈值参数化：用变量定义（如$InactiveDays = 90），避免硬编码；支持按OU差异化配置
• 排除白名单：读取独立CSV文件（含samaccountname列表）或查询特定AD组成员
• 操作前强制模拟：使用-WhatIf生成预览报告；生产运行时关闭-WhatIf但保留日志
• 错误隔离：单账号处理失败不中断整个流程（try/catch包裹每条Disable-ADAccount）

四、后续闭环与审计要求

自动化不是终点，而是运维闭环的起点：

• 每次执行后自动生成摘要邮件：共扫描X个账号，Y个进入待清理，Z个已禁用，0个失败（附失败详情）
• 所有操作写入自定义事件日志（New-EventLog + Write-EventLog），供SIEM采集
• 每月复查“被禁用但未删除”账号列表，防止长期滞留
• 将脚本纳入版本控制（Git），每次修改需注明变更原因和测试结果