最可靠方法是使用Search-ADAccount -AccountInactive -UsersOnly -TimeSpan，因其自动处理复制延迟且基于LastLogonTimestamp；需排除高权限、服务账号并记录日志。
用 PowerShell 的 Search-ADAccount 找出不活跃账号最可靠
windows 域环境下，判断“长期不活跃”最权威的依据是账户的最后登录时间（lastlogontimestamp），而不是密码过期或禁用状态。直接查 ad 数据库容易不准，search-adaccount 内部已处理了复制延迟和属性同步逻辑，比手动 get-aduser -filter 加 where-object 更稳妥。
实操建议：
- 用
-AccountInactive参数配合-TimeSpan，例如清理 90 天未登录的用户：Search-ADAccount -AccountInactive -UsersOnly -TimeSpan "90:00:00:00"
- 务必加
-UsersOnly，否则会混入计算机账户（LastLogonTimestamp对计算机意义不同） - 生产环境先加
-WhatIf预览，比如：Search-ADAccount -AccountInactive -UsersOnly -TimeSpan "90:00:00:00" | Disable-ADAccount -WhatIf
- 注意：该命令依赖域控制器启用
msDS-LogonTimeSyncInterval（默认 14 天），所以LastLogonTimestamp最多滞后两周，不能精确到小时
禁用前必须跳过关键服务账号和管理员
直接批量禁用风险极高——比如 SQL Server Agent 用的域账号、SCCM 管理员、备份服务账号一旦被禁，业务立即中断。不能只靠名字含 “svc” 或 “sql” 过滤，AD 中这类账号命名无强制规范。
安全做法：
- 优先用
Get-ADUser -Identity $user -Properties MemberOf检查是否属于高权限组，如"Domain Admins"、"Enterprise Admins"、"Schema Admins" - 排除已明确标记的账号：检查
Description或Comment属性是否含"service account"、"no disable"等人工标注 - 对
Enabled为$false的账号跳过处理（避免重复操作或误启） - 建议把需豁免的账号 DN 列表存成 CSV，脚本中用
Import-Csv+Where-Object {$excludes.DistinguishedName -notcontains $_.DistinguishedName}过滤
禁用后要记录操作日志并保留恢复路径
AD 账号禁用不可逆（除非有备份或回收站功能），但误操作必须能快速回滚。仅靠 Windows 事件日志不够细，无法关联到具体脚本执行上下文。
必须做的三件事：
- 用
Export-Csv把本次处理的账号导出到带时间戳的文件，字段至少包含：DistinguishedName、LastLogonTimestamp、Enabled、Description、WhenChanged - 调用
Disable-ADAccount时捕获错误，用try/catch记录失败原因（如权限不足、对象已不存在） - 不直接删除账号，禁用后统一移动到 OU 如
OU=Disabled-Accounts,DC=corp,DC=local，便于后续按需启用或归档 - 如果域启用了 Active Directory 回收站（
Enable-ADOptionalFeature 'Recycle Bin Feature' -Scope ForestOrConfigurationSet -Target corp.local），禁用比删除更安全
定时任务要用系统账户而非个人账号运行
用个人域账号配计划任务，密码一到期脚本就静默失败，且日志里只显示“登录失败”，排查成本高。
正确方式：
- 创建专用的服务账号，如
svc-ad-cleanup，仅赋予Read/Write权限到目标 OU，**不加入任何高权限组** - 在计划任务中勾选
Run whether user is logged on or not和Run with highest privileges - PowerShell 脚本开头强制加载模块：
Import-Module ActiveDirectory -Force
，避免因执行环境缺失模块而中断 - 输出日志重定向到文件时，用绝对路径并确保服务账号有写权限，例如：
.\cleanup.ps1 > "C:\Logs\ad-cleanup-$(Get-Date -Format 'yyyyMMdd-HHmm').log" 2>&1
真正难的不是找出不活跃账号，而是定义“谁可以被清理”——这需要和 HR、各系统负责人对齐账号生命周期策略，而不是只靠一个 -TimeSpan 参数。
