- 1. Disable-ADAccount + 备注停用信息
- 2. Get-ADPrincipalGroupMembership 逐个移除（保留 Domain Users）
- 3. 数据/邮箱交接与所有权转移
- 4. 移入禁用/离职 OU，切断登录脚本与软件分发
- 5. 回收 VPN/RDP/云应用权限，归档审计证据
常用示例
常用示例
$u = 'wxm01'
Disable-ADAccount -Identity $u
Get-ADPrincipalGroupMembership $u | Where-Object Name -ne 'Domain Users' | ForEach-Object { Remove-ADGroupMember -Identity $_.DistinguishedName -Members $u -Confirm:$false }
Get-ADUser $u | Move-ADObject -TargetPath 'OU=Disabled,DC=corp,DC=local'批量移除组前先导出清单并确认交接完成；脚本严格限制账号范围，避免误伤同名对象。