Assistance Powershell pour le nettoyage d'Active Directory

Je suppose que votre question porte sur la recherche de comptes inactifs.

J'utilise le programme de JoeWare Oldcmp outil. http://www.joeware.net/freetools/tools/oldcmp/index.htm encore après toutes ces années.

Il peut trouver des comptes AD inactifs en examinant l'ancienneté du mot de passe et en particulier LLTS = lastLogonTimestamp

C'est assez simple pour que vous puissiez au moins commencer et plus facile que powershell. Désactivez ensuite ces comptes et utilisez ADUC pour créer une fenêtre de requête personnalisée pour les comptes désactivés. De cette façon, vous n'avez pas à déplacer quoi que ce soit qui pourrait avoir besoin d'être réactivé plus tard.

MAIS... je suis d'accord avec Hopeless et Mfinni, et je dirais que vous feriez mieux d'exposer clairement ce que vous comptez faire avec la direction AVANT de mettre en œuvre quoi que ce soit.

J'utilise Powershell pour le faire, en appelant la fonction lastlogondate correct.

Ici, je renvoie tout samaccountname dont la date de dernière connexion remonte à plus de 30 jours (à partir d'aujourd'hui) :

$datenow = Get-date
$treshold=$datenow.AddDays(-30)
$users=Get-ADuser -Filter * -properties samaccountname,lastlogondate
foreach($user in $users) {
  $lastlogon = $user.lastlogondate
  if($lastlogon -lt $treshold) { 
    echo $user.samaccountname
    echo $user.lastlogondate
    echo "------------------------------------------------"
  }
}

De là, vous pouvez :

• Adaptez le seuil de date à vos besoins
• Désactiver le compte AD ( Disable-ADAccount )
• Tout ce que vous voulez (au moins, la plupart des choses)

Bons conseils ci-dessus concernant le contrôle des changements et la documentation des autorisations. J'essaierais une approche comme celle-ci

Établir un inventaire du compte qui comprend des attributs tels que lastLogonTimestamp , pwdLastSet , whencreated y whenchanged . Vous pouvez saisir tout cela avec Powershell et get-ADUser . Je suis sûr que beaucoup de script existent sur le web - le dépôt de script de TechNet est un bon point de départ.

Utilisez l'inventaire pour localiser les comptes cibles.

Avant d'apporter une modification à AD, pensez à tout tester dans un environnement de test. Il existe quelques scripts dans le référentiel qui vous permettront de faire une copie d'AD (OUs, Users & groups) dans votre environnement de test.

J'ai effectué une tâche similaire il y a quelques années, mais à une échelle beaucoup plus petite que celle à laquelle vous êtes confronté. La première chose que nous avons faite a été de mettre en œuvre le produit AD Audit de ManageEngine afin de maîtriser les comptes. Nous avons probablement laissé ce produit fonctionner pendant quelques semaines afin de générer des métriques avant d'aller plus loin. À partir de là, nous avons pu déterminer d'où provenaient les connexions aux comptes et nous avons pu les traiter de manière contrôlée.

AD Audit est un produit relativement peu coûteux et les rapports Excel sont très bons. Nous sommes donc très satisfaits de notre décision.

Vous trouverez ci-dessous quelques solutions. Je ne sais pas si c'est ce que vous recherchez.

Exemple n° 1 : Cela permettra de rechercher le OU Utilisateurs dans le domaine domain.local en utilisant la date spécifiée. Vous pouvez les modifier ci-dessous et éditer le Nom d'utilisateur : y LastLogonTimestamp comme :

Utilisateur 1

13/2/2014

Utilisateur 2

12/12/2013

Import-Module Active Directory
$lastdate = "09 April 2014 23:59:59"
$users = Get-ADUser -Filter * -SearchBase "ou=users,dc=domain,dc=local" -ResultPageSize 0 -Prop CN,lastLogonTimestamp | Select     CN,@{N='lastlogontimestamp'; E={[DateTime]::FromFileTime($_.lastlogontimestamp)}}
foreach ($user in $users) {
if ($user.lastlogontimestamp -lt $lastdate) {
echo $user.CN
echo $user.lastlogontimestamp.tostring('d/M/yyyy')
}
}

Exemple n° 2 : Cela permettra de rechercher le OU Utilisateurs dans le domaine domain.local . Ensuite, exportez-le vers un CSV et vous pourrez voir vos données un peu mieux.

Import-Module ActiveDirectory
Get-ADUser -Filter * -SearchBase "ou=users,dc=domain,dc=local" -ResultPageSize 0 -Prop CN,lastLogonTimestamp | Select    CN,@{N='lastLogonTimestamp'; E={[DateTime]::FromFileTime($_.lastLogonTimestamp)}} | Export- CSV -NoType .\last.csv

Dans l'exemple 2, vous pourriez dresser une liste des utilisateurs que vous allez supprimer/désactiver dans un fichier CSV/excel et vous rendre à la direction avec cette liste.

J'espère que cela vous aidera !