Поиск по сайту:

Как найти неактивные учетные записи пользователей в Active Directory

В этом руководстве я покажу вам, как найти неактивных пользователей в Active Directory с помощью PowerShell. Я также покажу вам, как найти все неиспользуемые учетные записи с помощью инструмента очистки Active Directory.

Важно проверять устаревших и неактивных пользователей для поддержания безопасности и устранения потенциальных угроз вашей среде Active Directory.

В этой статье:

  • Как найти неактивных пользователей в Active Directory
  • Вариант 1. Найдите неактивных пользователей с помощью PowerShell
  • Вариант 2. Найдите неактивных пользователей с помощью инструмента очистки AD
  • Почему вам стоит проверять неактивные учетные записи пользователей
  • Лучшие практики работы с неактивными пользователями

Как найти неактивных пользователей в Active Directory

Вы можете найти неактивных и устаревших пользователей, проверив атрибут lastLogonTimestamp пользователя. Этот атрибут обновляется, когда пользователь входит в свою учетную запись на компьютере или сети. Обычно вам нужно найти учетные записи, для которых этот атрибут не обновлялся в течение определенного времени, например, за последние 90 дней. Это означает, что пользователь не заходил в систему в течение 90 дней.

Чтобы проверить, является ли пользователь Active Directory неактивным, выполните следующие шаги.

  1. Нажмите на «Свойства» для учетной записи пользователя.
  2. Нажмите на «Редактор Атрибутов».
  3. Просмотр значения lastLogonTimestamp.

На скриншоте выше вы можете видеть, что последний временной штамп входа пользователя не обновлялся очень долго. Я бы рассмотрел это как устаревшую учетную запись, так как она не использовалась более года.

В примерах ниже я покажу вам, как использовать PowerShell и AD Pro Toolkit, чтобы быстро найти всех пользователей, которые не входили в систему как минимум 90 дней. Вы также можете выбрать другой период времени, такой как последние 30, 60, 180 дней или любой другой, который вам подходит.

Вариант 1. Найдите неактивных пользователей в AD с помощью PowerShell

Чтобы найти неактивные учетные записи с помощью PowerShell, вам необходимо установить инструменты RSAT или выполнить эти команды на контроллере домена.

Все эти примеры используют свойство LastLogonDate, которое является преобразованным значением LastLogonTimestamp.

Найдите неактивные аккаунты за последние 60 дней

$When = ((Get-Date).AddDays(-60)).Date
Get-ADUser -Filter {LastLogonDate -lt $When} -Properties * | select-object samaccountname,givenname,surname,LastLogonDate

Найдите неактивные аккаунты за последние 30 дней

$When = ((Get-Date).AddDays(-30)).Date
Get-ADUser -Filter {LastLogonDate -lt $When} -Properties * | select-object samaccountname,givenname,surname,LastLogonDate

Вот пример из моей области.

Вы можете экспортировать результаты в CSV, добавив | export-csv -path c:\ps\inactiveusers.csv

$When = ((Get-Date).AddDays(-30)).Date
Get-ADUser -Filter {LastLogonDate -lt $When} -Properties * | select-object samaccountname,givenname,surname,LastLogonDate | export-csv -path c:\ps\inactiveusers.csv

Чтобы ограничить область поиска до организационной единицы, используйте параметр SearchBase с уникальным именем OU.

$When = ((Get-Date).AddDays(-30)).Date
Get-ADUser -Filter {LastLogonDate -lt $When} -SearchBase "OU=Accounting,OU=ADPRO Users,DC=ad,DC=activedirectorypro,DC=com" -Properties * | select-object samaccountname,givenname,surname,LastLogonDate

Найдите неактивных пользователей и деактивируйте их аккаунты

$When = ((Get-Date).AddDays(-30)).Date
Get-ADUser -Filter {LastLogonDate -lt $When} -Properties * | select-object samaccountname,givenname,surname,LastLogonDate | Disable-ADAccount

В приведенном выше примере я добавил | Disable-ADAccount в конце, чтобы отключить все неактивные учетные записи.

Вы также можете использовать эти команды для поиска учетных записей компьютеров, просто заменив Get-ADUser на Get-ADComputer.

Как вы можете видеть, легко идентифицировать неактивные учетные записи пользователей с помощью PowerShell, фильтруя по дате последнего входа пользователя. Если вы увлекаетесь PowerShell, вы можете создать очень мощный инструмент для очистки Active Directory.

Вариант 2. Легко находите неактивных пользователей в Active Directory с помощью инструмента для очистки AD.

Инструмент очистки Active Directory облегчает поиск всех неактивных пользователей в вашей сети. Вы можете отключить, удалить, переместить и экспортировать список неактивных аккаунтов.

Шаг 1. Нажмите на «Очистка AD» в меню инструментов безопасности.

Шаг 2. Выберите неактивный диапазон времени (по умолчанию последние 90 дней) и нажмите «Запустить».

Шаг 3. Просмотрите список аккаунтов и выберите одно из следующих действий. Я рекомендую отключить аккаунты на срок x. Вы можете выбрать все аккаунты или отдельные аккаунты.

  • Удалить
  • Отключить
  • Двигаться
  • Экспорт

Инструмент очистки Active Directory имеет несколько других фильтров, которые помогут вам найти неактивные учетные записи пользователей.

  • Пользователи с ограниченными возможностями
  • Пользователи без входа в систему
  • Истекшие пользователи

Найдите все неиспользуемые учетные записи в Active Directory

Чтобы найти неиспользуемые учетные записи в Active Directory, нажмите на "Пользователи без входа в систему". Это учетные записи, для которых поле lastLogonTimestamp никогда не обновлялось.

Почему вам стоит проверять неактивные учетные записи пользователей

Безопасность является основной причиной удаления неактивных учетных записей пользователей. Вот полный список.

  1. Риски безопасности - Контроль #5 CIS говорит: «Существует множество способов скрытно получить доступ к учетным записям пользователей, включая слабые пароли, учетные записи, которые остаются активными после того, как пользователь покинул предприятие, неактивные или устаревшие тестовые учетные записи, общие учетные записи, которые не менялись в течение месяцев или лет, и служебные учетные записи, встроенные в приложения для скриптов». Я настоятельно рекомендую вам скачать контролы CIS, это отличный источник для защиты и обеспечения безопасности окружений.
  2. Проблемы с учётом и отслеживанием – Active Directory является централизованной базой данных. Вы можете использовать её не только для отслеживания ваших активов, но и интегрировать с другими системами для полного решения по управлению активами. Если вы не очистите свои активы в AD, то ваша система учёта будет неточной.
  3. Удобство управления - Пожалуй, довольно похоже на пункт #2. Загроможденная среда Active Directory приводит к трудной и стрессовой ситуации для управления. Подумайте о выполнении скрипта PowerShell или попытке развертывания программного обеспечения на сотнях компьютеров или пользователей. Вы получите множество сообщений об ошибках, пытаясь управлять средой с устаревшими и неактивными учетными записями.
  4. Целостность данных - У многих из них есть одно и то же, целостность данных. Еще раз, AD является централизованной базой данных и может быть интегрирована с множеством систем. Если данные в AD неверны, то все системы, подключенные к AD, также будут неверными.
  5. Лицензирование – Вот реальный пример. Ваши учетные записи пользователей AD синхронизируются с системой третьей стороны, такой как McAfee. McAfee взимает с вас плату на основе количества учетных записей пользователей. Если у вас есть сотни неактивных учетных записей, синхронизирующихся с продуктами третьих сторон, вы можете платить за множество дополнительных лицензий, которые вам не нужны. Это также актуально для синхронизации AD с облачными продуктами.

Лучшие практики для работы с неактивными учетными записями пользователей

Вот несколько лучших практик для очистки неактивных учетных записей пользователей.

  • Никогда не удаляйте аккаунты, которые были распознаны как неактивные, сразу же. Сначала отключите их как минимум на 30 дней (чем дольше, тем лучше).
  • Искать учетные записи с lastLogonTimestamp, который равен 45 дням или более, что означает, что учетная запись AD не показывает активности входа в течение 45 дней или дольше.
  • Отключите аккаунты минимум на 30 дней, я обычно выбираю 60. При удаленном доступе, VPN, ноутбуках иногда AD не обновляется. Отключив аккаунт сначала, очень легко включить его снова и вернуть доступ пользователю.
  • Добавьте описание к учетной записи с указанием даты отключения и ваших инициалов. Это очень полезно для других администраторов в случае, если кто-то спросит, почему учетная запись отключена.
  • Неактивная локальная учетная запись может не означать неактивную учетную запись Office 365. Это относится к гибридным средам, которые синхронизируются с Office 365. Отключение учетной записи по сравнению с немедленным удалением критически важно для таких типов сред. У вас могут быть пользователи, работающие из дома, которые никогда не аутентифицируются в локальной среде AD, но ежедневно входят в Office 365.
  • Запускайте процесс очистки каждый месяц.

В этой статье я показал вам, как найти неактивные учетные записи пользователей в Active Directory. Я настоятельно рекомендую добавить это в ваш ежемесячный контрольный список обслуживания. Если у вас есть вопросы, пожалуйста, оставьте их ниже в комментариях.