禁用离职员工的域用户账号是标准且最有效的安全操作，应立即在aduc中执行“禁用账户”，确保即时阻断所有认证通道，并同步清理高权限组成员身份，避免仅改密码或删组。
在 windows 域环境中，锁定已离职员工的账户本身（而非“账户组关联”）才是标准且有效的安全操作。所谓“锁定账户组关联”，并不是一个技术上可执行的动作——用户账号与组（如 domain users、finance team 等）的隶属关系本身不会导致登录或访问权限；真正起作用的是账号自身的启用状态、密码策略和组策略应用结果。因此，正确的做法是：禁用该用户账号，并视需移除其敏感组成员身份，从而切断所有登录能力与权限继承。
以下是具体、可落地的操作路径：
一、立即禁用离职员工的域用户账号
这是最核心、最快速生效的一步，比改密码或删组更可靠。
- 打开 Active Directory 用户和计算机（ADUC）
- 找到该员工账号 → 右键 → 选择 “禁用账户”
- 禁用后，该账号将无法通过任何方式（交互登录、远程桌面、Exchange、SharePoint 等）认证成功，即使密码正确也不行。
- 此操作即时生效，无需等待组策略刷新。
二、检查并清理高权限组成员身份
禁用账号后，建议同步审查其所属的安全组，尤其移除以下类型组：
- Enterprise Admins / Domain Admins / Schema Admins
- Backup Operators / Server Operators
- 自定义业务组（如 “R&D-CodeAccess”、“Finance-Admin”）
- 注意：不要删除其在 Domain Users 中的默认成员身份——该组本身无特权，且删除可能影响策略继承或脚本逻辑。
三、确认组策略中未豁免该账号
某些企业会为特定账号配置“不参与账户锁定策略”（如通过 msDS-User-Account-Control-Computed 或细粒度密码策略排除）。需确保：
- 该账号未被添加到任何“密码策略例外组”中
- 其所在 OU 没有应用覆盖性更强的、允许绕过锁定的 GPO
可通过命令快速验证：
dsquery user -name "张三" | dsget user -losite -mustchpwd -pwdneverexpires -acctexpires
重点关注 -acctexpires 和 -disabled 字段是否为 YES。
四、补充建议：避免仅依赖“改密码”或“删组”
- ✅ 禁用账号 = 立即阻断所有认证通道
- ❌ 单纯改密码 = 员工若已导出凭据（如 Kerberos TGT、Cached Logon）、或掌握其他凭证（如 API key、服务账号），仍可能继续访问
- ❌ 仅删组 = 账号仍可登录，且可能保留在多个嵌套组中，权限难以彻底清理
实际运维中，推荐将“禁用账号”作为离职流程的第一步，并配合 Microsoft Intune、Endpoint Central 或中科安企等工具实现批量、远程、带审计日志的一键执行。
不复杂但容易忽略。
