停用、启用或删除废弃域账号需区分场景：停用保留sid与权限仅禁登录；启用可完全恢复；删除不可逆且清除sid。操作须通过aduc或powershell，禁用/启用为首选安全做法，删除须谨慎并提前导出数据备份。
停用、启用或删除废弃的域用户账号，核心在于区分“临时保留”和“彻底清理”两种场景。操作必须通过 active directory 用户和计算机（aduc）或 powershell 完成，不能依赖本地用户管理工具。
停用废弃账号（推荐首选）
停用不等于删除，是企业最常用的安全做法——保留账户所有属性（SID、组成员关系、权限、历史记录），仅阻止登录。
- 在 ADUC 中右键目标用户 → 选择“禁用账户”
- 禁用后，该用户无法登录域、访问共享、使用邮箱（若集成 Exchange），但其所属安全组、NTFS 权限、证书绑定等全部保持不变
- 适用于员工休假、转岗、待离职确认等过渡期；后续可直接启用，无需重建权限体系
启用已停用的账号
启用操作与停用对称，且完全恢复原状，包括上次登录时间、密码策略状态、Kerberos 票据有效性等。
- 在 ADUC 中右键已禁用用户 → 选择“启用账户”
- 注意：若账户设置了“密码永不过期”，启用后仍沿用原密码；若未设，且密码已过期，则用户首次登录时需强制修改
- 启用后建议检查其所属组是否仍符合当前岗位权限要求，避免权限冗余
删除废弃账号（谨慎执行）
删除是不可逆操作，会永久移除对象及其 SID。除非确认无任何依赖，否则不建议直接删除。
- 在 ADUC 中右键用户 → “删除”，确认提示
- 删除后：该用户的 SID 彻底消失，所有基于该 SID 的 NTFS 权限、共享权限、Exchange 邮箱、证书绑定、审计日志关联均失效或变为“未知 SID”
- 如需保留邮箱数据，应先导出为 PST 或启用“软删除”策略（需 Exchange 配置）；删除前务必确认无脚本、服务账户、自动化任务仍在调用该用户名
批量操作与注意事项
对大量废弃账号处理，建议用 PowerShell 提高效率与可追溯性。
- 停用多个用户：
Get-ADUser -Filter "Name -like 'Zhang*'" | Disable-ADAccount - 启用指定 OU 下所有已禁用账户：
Get-ADUser -SearchBase "OU=Temp,DC=zms,DC=com" -Filter {Enabled -eq $false} | Enable-ADAccount - 删除前务必导出清单：
Get-ADUser -Filter {Enabled -eq $false} -Properties LastLogonDate | Where-Object {$_.LastLogonDate -lt (Get-Date).AddDays(-90)} | Export-Csv inactive_users.csv - 所有操作建议在维护窗口执行，并提前备份系统状态（ntdsutil 或 Windows Server 备份）
