禁用或删除离职员工域账号的核心原则是先禁用、再确认、后清理：禁用即时阻断访问并保留审计信息；删除需确认无服务依赖、权限残留及满足静默期要求，并同步清理邮箱、云用户和本地配置文件。
禁用或彻底删除离职员工的域用户账号，核心原则是：先禁用、再确认、后清理。直接删除有风险，禁用是安全起点，删除需满足合规与可追溯要求。
一、立即禁用账号（推荐首选操作）
禁用账号能即时阻断登录和资源访问，同时保留对象及历史权限信息，便于审计或临时恢复。操作方式有两种：
- 图形界面（ADUC）：打开“Active Directory 用户和计算机”，找到该用户 → 右键 → “属性” → 勾选“帐户已禁用” → 确定。
-
命令行（dsmod）：在域控制器上运行：
dsmod user "CN=张三,OU=IT,DC=contoso,DC=com" -disabled yes
注意：禁用后，该账号仍保留在AD中，不会影响组策略应用、邮箱归档或审计日志关联；也可作为新员工建号的模板复用。
二、确认无业务依赖再执行删除
删除前必须核实以下几项，避免影响服务：
- 该账号是否被用作服务账户（如SQL Server、IIS应用池、计划任务）？查“服务”管理器或使用 Get-ADObject -Filter {servicePrincipalName -like "*"} -Properties * | Where-Object {$_.DistinguishedName -match "张三"}
- 该账号是否拥有共享文件夹、邮箱、OneDrive或Teams中的独占权限？需提前移交或转为共享权限。
- 是否已超过组织规定的“静默期”（如30天禁用观察期）？建议政策明确：禁用满30天且无业务申诉，方可删除。
三、执行删除操作（两种可靠方式）
删除必须由域管理员执行，且建议在维护窗口操作：
- 图形界面：在ADUC中右键用户 → “删除” → 确认。若启用了AD回收站（Windows Server 2008 R2+且已启用），删除后仍可在回收站中还原，包括成员关系。
-
PowerShell（推荐批量/自动化）：
Remove-ADUser "CN=张三,OU=IT,DC=contoso,DC=com" -Confirm:$false
如需连带清理其本地配置文件（仅限该用户最后登录过的某台服务器），可配合：
Remove-Item "C:\Users\张三" -Recurse -Force（需先注销并确保无进程占用）
四、配套清理不可遗漏
账号本身删除只是第一步，还需同步处理关联资产：
- Exchange Online / Exchange Server：禁用邮箱（Disable-Mailbox）或软删除（保留30天），避免邮件继续流入。
- Microsoft Entra ID（原Azure AD）：若使用云同步，禁用或删除AD账号后，对应云用户会自动软匹配禁用；也可手动运行 Remove-AzureADUser。
- 终端设备：在该员工常用电脑上，通过“系统 → 高级系统设置 → 用户配置文件”删除其本地配置文件，释放磁盘空间并清除缓存凭证。
