问题是什么
域侧离职处置的目标是“权限即刻失效、可审计、可回溯”：停用而非删除账户，移出全部业务权限组，交接数据与邮箱，移入隔离 OU 切断登录脚本与软件分发，回收远程接入。整个过程要与 HR 离职流程挂钩，从人走生效到权限清空只允许很短的窗口。
基本信息
| 适用平台 | Windows Server Active Directory（域功能级别 2008 及以后） |
|---|---|
| 权限要求 | 对目标账户所在 OU 有修改权限的委派账号或域管 |
| 核心命令 | Disable-ADAccount、Get-ADPrincipalGroupMembership、Remove-ADGroupMember、Move-ADObject |
| 关键原则 | 优先停用与移组，保留对象以便审计追溯、邮箱代理与文件所有权处理 |
域侧离职清单
- 1. Disable-ADAccount 停用账户，并在 Description 写明停用人与停用日期
- 2. Get-ADPrincipalGroupMembership 逐个移除业务组，仅保留 Domain Users
- 3. 数据与邮箱交接：邮箱设转发或委派，转移文件所有权
- 4. 移入禁用/离职 OU，使登录脚本与软件分发策略自动失效
- 5. 回收 VPN、远程桌面与云应用权限，归档审计证据
- 6. 归档期结束后再决定删除或移入长期保留 OU
常用示例
常用示例
$u = 'wxm01'
Disable-ADAccount -Identity $u # 先停用，不直接删除
Get-ADUser $u | Set-ADUser -Description 'Offboard 2026-10-13 by ops' # 留停用信息
Get-ADPrincipalGroupMembership $u | Where-Object Name -ne 'Domain Users' | ForEach-Object { Remove-ADGroupMember -Identity $_.DistinguishedName -Members $u -Confirm:$false }
Get-ADUser $u | Move-ADObject -TargetPath 'OU=Disabled,DC=corp,DC=local'步骤与证据
| 步骤 | 目的 | 证据留存 |
|---|---|---|
| 停用账户 | 立即阻断登录 | 事件 4725/4738 与操作记录 |
| 移除权限组 | 切断资源访问 | 组变更前后对比清单 |
| 数据与邮箱交接 | 保证业务连续 | 交接单与所有权变更记录 |
| 移入隔离 OU | 停用脚本与软件分发 | 对象移动前后的 DN |
| 回收远程接入 | 关闭外部入口 | VPN 与云应用账号状态 |
| 归档 | 支撑审计追溯 | 处置工单与清单存档 |
停用而不是删除：审计追溯、邮箱代理、文件所有权与许可证回收都需要对象继续存在；删除后 SID 无法还原，重建同名账号也继承不到任何原有关系。
批量移除组前先导出清单并确认交接完成；脚本必须严格限定账号范围，避免模糊匹配误伤其他对象。