停用域账号是什么
Disable-ADAccount 把域用户或计算机账户标记为禁用，是最常用的紧急止损与离职处置手段。停用只改账户控制位，不删除对象：SID 保留、组成员身份保留、历史操作记录仍可追溯到这个人，因此比直接删除更适合作为处置的第一步。观察期结束后再按流程移入离职 OU 或删除。
基本信息
| 适用平台 | Windows Server 域环境；需 RSAT 的 ActiveDirectory 模块 |
|---|---|
| 权限要求 | 对目标对象有账户控制权限，通常为账户管理员 |
| 语法 | Disable-ADAccount -Identity x；Enable-ADAccount -Identity x |
| 常用配套 | Set-ADUser -Description 标注原因与日期 |
| 复核命令 | Get-ADUser -Identity x -Properties Description |
| 不影响范围 | 已建立的会话与已缓存票据不因停用立即失效 |
典型使用场景
- 离职流程第一步：先停用止损，再谈数据交接与权限回收
- 发现账号口令疑似泄露，立即停用阻断攻击者使用
- 员工长期休假、账号暂时无业务需要，先停用而非删除
- 外包人员合同到期，停用保留审计链条
- 误操作后快速停用确认，再重新启用复核
常用示例
常用示例
Disable-ADAccount -Identity ops01 # 停用账号
Set-ADUser -Identity ops01 -Description '离职停用 2026-10-13' # 留下原因与日期
Get-ADUser -Identity ops01 -Properties Description, LastLogonDate | Select-Object Name, Enabled, Description, LastLogonDate # 复核
Get-ADUser -Identity ops01 -Properties MemberOf | Select-Object -ExpandProperty MemberOf # 看还剩哪些组身份
Search-ADAccount -AccountDisabled -UsersOnly | Select-Object Name, SamAccountName # 盘点全部已停用账号
Enable-ADAccount -Identity ops01 # 确认误停后恢复停用后仍需处理
| 项目 | 为什么 | 处理方式 |
|---|---|---|
| 组成员身份 | 权限仍挂在组上 | 按复核清单逐步移出业务组 |
| 已登录会话 | 停用不会立即踢下线 | 敏感场景主动断开会话或重置密码 |
| 缓存凭据 | 域外设备可能仍能登录 | 重置密码并清理缓存 |
| 邮箱与共享 | 转发规则、代理收件仍在 | 一并清理 |
| 服务账户引用 | 有程序用它跑任务 | 确认无依赖后再停 |
停用是可逆操作，删除不是。处置敏感账号时先停用、观察、留档，把删除放到流程末尾，能避免“删错人”这种不可恢复的事故。
停用不切断已有登录会话与缓存票据，也不回收资源权限：对高风险账号要同时重置密码、断开活动会话，并检查组成员身份与邮箱转发规则。