清理AD陈旧计算机对象需遵循“发现→通知→冻结→清理”四步法，综合LastLogonTimestamp、PwdLastSet、启用状态及OU标签精准判定，全程可追溯并启用回收站保障回滚。

清理active directory中陈旧失效的计算机对象，核心是识别“长期未登录且无业务价值”的机器，避免影响组策略应用、安全扫描准确性和ad整体健康度。关键不在于删除本身，而在于精准判定+可追溯操作+业务协同。

明确“陈旧计算机”的判定标准

不能仅按创建时间或静态阈值一刀切。应综合以下维度：

• 最后登录时间（LastLogonTimestamp）：这是最常用指标，但注意它默认有14天延迟同步，实际应结合多域控取最大值或用LastLogon（实时但需查所有DC）交叉验证
• 密码最后更新时间（PwdLastSet）：计算机账户每30天自动改密，若该值超过90–120天，基本可确认已离线或废弃
• 是否启用（Enabled）与对象状态：禁用（Disabled）且无登录记录的对象，优先纳入清理范围
• OU归属与业务标签：如属于“Test-Computers”、“Decommissioned”等OU，或描述字段含“retired”“migrated”等关键词，可直接标记

分阶段执行清理流程

避免一次性大规模删除，推荐“发现→通知→冻结→清理”四步法：

• 发现阶段：用PowerShell导出候选列表，例如筛选PwdLastSet超120天且LastLogonTimestamp超180天的启用计算机
• 通知阶段：邮件抄送所属部门IT接口人及资产管理员，附清单+截止日期（建议预留14天响应期），明确“逾期未反馈视为同意清理”
• 冻结阶段：对无异议对象，先禁用（Disable-ADAccount）并移入专用OU（如“Stale-Computers-Disabled”），保留对象但阻断认证
• 清理阶段：冻结满30天后，执行Remove-ADComputer；全程记录操作日志（含时间、执行人、对象DN、原因）

自动化脚本与日常维护机制

人工核查不可持续，需建立周期性机制：

• 部署每周运行的PowerShell脚本，自动比对PwdLastSet、LastLogonTimestamp和OU路径，生成差异报告并邮件发送给AD管理员
• 在AD用户和计算机控制台中，为“Stale-Computers-Disabled”等OU启用高级功能→显示已删除对象，便于误删恢复
• 将计算机对象清理纳入新系统上线/下线SOP：下线时由申请人提交AD清理工单，IT在关机后48小时内完成禁用操作

风险规避与回滚准备

删除不可逆，必须前置保障：

• 执行前确保AD回收站（AD Recycle Bin）已启用，否则无法还原已删对象
• 批量操作前，在测试环境AD林中模拟相同条件筛选与删除逻辑
• 导出待清理对象完整属性（包括SID、DistinguishedName、Description、WhenChanged），本地存档至少6个月
• 避免在域控高负载时段（如组策略刷新高峰、备份窗口）执行删除操作