必须清除域用户配置文件、windows凭据、组策略缓存及注册表sid残留，否则缓存会同步设备状态并导致权限继承；操作包括：删除配置文件、清理凭据管理器、强制更新并清空组策略、删除profilelist中对应sid项。
要彻底删除已离职员工在电脑上留下的域缓存，必须清除其用户配置文件、Windows凭据、组策略缓存及登录态残留，仅删桌面文件或清回收站毫无作用——这些缓存会持续向域控服务器同步设备状态，甚至可能被新用户意外继承权限。
删除域用户配置文件
右键“此电脑”→选择“属性”→点击“高级系统设置”→在“用户配置文件”区域点击“设置”。
在弹出窗口中，你会看到所有曾在此电脑登录过的域用户列表。重点关注名称含离职员工姓名、邮箱前缀或工号的条目；【务必确认当前登录账号不是该离职用户，否则无法删除】。
选中目标配置文件→点击“删除”。系统会立即移除C:\Users\下对应用户名的整个文件夹，包括文档、桌面、AppData等全部子目录。
删除后刷新列表，确认该条目已消失。若仍显示“正在使用中”，说明该用户有程序仍在后台运行，需打开任务管理器（Ctrl+Shift+Esc）→切换到“用户”选项卡→右键该用户→选择“断开连接”或“注销”。
清除Windows凭据管理器中的域登录凭据
按 Win + R 输入 control → 回车打开控制面板 → 选择“用户账户”→点击“凭据管理器”。
切换到“Windows凭据”标签页，向下滚动查找所有以“domain\”“corp\”“ad\”或公司域名开头的条目，例如：domain\zhangsan、ad.company.local\liwei。
逐个点击展开→选择“删除”→确认。遗漏任何一条都可能导致新用户首次登录时自动填充旧密码，触发域控日志告警。
刷新并重置组策略缓存
以管理员身份运行命令提示符（Win + X → 选择“终端（管理员）”）。
依次执行以下命令：
第一步：gpupdate /force → 强制刷新组策略，确保不再应用离职员工所属OU的策略。
第二步：rd /s /q "%windir%\System32\GroupPolicyUsers" → 删除用户级组策略缓存文件夹。
第三步：rd /s /q "%windir%\System32\GroupPolicy" → 删除计算机级组策略缓存文件夹。
第四步：gpupdate /boot → 注册下次启动时重建组策略对象，避免残留策略影响新用户环境。
执行完四步后重启电脑，新用户首次登录时将生成全新策略缓存，与离职员工零关联。
检查并清理SID残留注册表项（可选但关键）
按 Win + R 输入 regedit → 回车打开注册表编辑器。
导航至 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList → 展开该路径。
每个子项名是一串以S-1-5-21开头的长字符串，即SID。右侧“ProfileImagePath”值指向C:\Users\xxx，找到对应离职员工用户名的项。
【直接删除该SID子项，否则即使删了C:\Users\文件夹，系统仍可能在登录界面显示其头像或恢复配置文件】。
删除前请右键导出备份该子项（以防误删），然后按Delete键彻底移除。
