Un administrador de Active Directory debe deshabilitar periódicamente las cuentas de dominio de usuario y de computadora que no se usan durante mucho tiempo. Las cuentas deshabilitadas no se pueden usar para iniciar sesión en el dominio, incluso si el usuario conoce la contraseña de la cuenta y no está vencida.
Puede deshabilitar una cuenta de usuario o computadora en Active Directory a través del complemento gráfico Usuarios y computadoras de Active Directory (ADUC). Para hacer esto, busque la cuenta de usuario en la consola, haga clic derecho sobre ella y seleccione Deshabilitar cuenta.
O puede abrir las propiedades del usuario y habilitar la opción «La cuenta está deshabilitada» en la sección «Opciones de la cuenta» en la pestaña «Cuenta».
También puede deshabilitar la cuenta de Active Directory mediante el cmdlet de PowerShell Desactivar cuenta AD.
Instala el Directorio activo para Windows PowerShell e importarlo a la sesión de PS con el comando:
Import-Module ActiveDirectory
Para deshabilitar el jbrión cuenta de usuario, ejecute el comando:
Disable-ADAccount -Identity jbrion
Para solicitar la confirmación de desactivación de la cuenta, puede agregar el -Confirmar parámetro.
Verifique que la cuenta esté deshabilitada ahora (Habilitado = Falso):
Get-ADUser jbrion |select name,enabled
Puedes usar el Desactivar cuenta AD cmdlet para deshabilitar tanto la computadora como el usuario o la cuenta de servicio en el dominio. Los siguientes parámetros del objeto AD se pueden especificar como un -Identidad argumento:
Insinuación. Para habilitar una cuenta, use el comando:
Get-ADUser jbrion | Enable-ADAccount
Para deshabilitar todas las cuentas de computadora en una unidad organizativa específica:
Get-ADUser -Filter 'Name -like "*"' -SearchBase "OU=Laptops,OU=NY,OU=USA,DC=theitbros,DC=com" | Disable-ADAccount
Para encontrar todas las cuentas de equipo deshabilitadas en el dominio, use el comando:
Search-ADAccount -AccountDisabled -ComputersOnly|select Name,LastLogonDate,Enabled
Para mostrar la lista de cuentas de usuario:
Insinuación. Puede leer más sobre la cuenta AD de servicio especial krbtgt.
Con PowerShell, puede deshabilitar varias cuentas de AD. Para hacer esto, cree un archivo de texto con una lista de cuentas de usuario que desea deshabilitar. Luego, puede deshabilitar todas las cuentas de usuario del archivo txt usando el siguiente script de PowerShell:
$users=Get-Content c:psusers.txt
ForEach ($user in $users)
{
Disable-ADAccount -Identity $($user.name)
}
Similarly, you can disable computer accounts:
$computers= Get-Content c:pscomputers.txt
ForEach ($computer in $computers)
{
Disable-ADAccount -Identity "$($computer.name)$"
}
Usando el cmdlet Search-ADAccount, puede encontrar todas las cuentas inactivas en el dominio y deshabilitarlas a la vez. Por ejemplo, desea deshabilitar a todos los usuarios que no hayan iniciado sesión en el dominio durante más de 3 meses:
$timespan = New-Timespan -Days 90 Search-ADAccount -UsersOnly -AccountInactive -TimeSpan $timespan | Disable-ADAccount
