问题是什么
离职处置是一条完整链条：禁用账户、回收全部权限组、转移数据所有权、清理特权与凭据、回收远程访问、归档审计记录。任何一环漏掉都会留下访问面——账号禁用了但 VPN 证书还在，等于换了门锁却没换钥匙。
为什么先禁用而不是删除
删除账户会让事件日志里的 SID 变成无法反查的孤儿，破坏审计关联；邮箱代理与文件所有权也需要对象继续存在。正确顺序是禁用、移组、隔离，观察期满后再决定删除或长期留存。
基本信息
| 适用平台 | 域环境与本地账户场景均适用 |
|---|---|
| 权限要求 | 禁用、移组与凭据清理需管理员或对应委派权限 |
| 关键命令 | Disable-ADAccount、Disable-LocalUser、Remove-LocalGroupMember、cmdkey /list |
| 关键原则 | 先禁用后删除；每步留痕；权限与凭据一起回收 |
典型使用场景
- 员工离职当天完成账户与权限的即时回收
- 转岗场景：保留账户但回收原岗位的权限组
- 外包人员合同到期后清理本地管理员与远程桌面权限
- 审计前统一清点长期未使用的本地特权账号
- 事故响应：临时冻结可疑账户并保留证据
常用示例
常用示例
Disable-LocalUser -Name user01 # 先禁用，不直接删除
Remove-LocalGroupMember -Group Administrators -Member user01 # 回收本地管理员
net localgroup "Remote Desktop Users" user01 /delete # 回收远程桌面权限
cmdkey /list | findstr /i user01 # 检查残留的保存凭据
Get-LocalUser -Name user01 | Select-Object Name, Enabled, LastLogon处置环节读法
| 环节 | 动作 | 留痕方式 |
|---|---|---|
| 账户状态 | 禁用而非删除 | 事件 4725 与 4738 及命令记录 |
| 本地权限组 | 从 Administrators 等组移除 | 改前与改后组成员对比 |
| 远程访问 | 回收 RDP 与 WinRM 权限 | 组变更记录 |
| 保存凭据 | 用 cmdkey 清点并删除 | cmdkey 操作记录 |
| 数据所有权 | 转移给交接人 | 交接单 |
| 归档 | 记录全部操作 | 处置工单与清单 |
只禁用账号而不回收 VPN、证书与 API 密钥，访问面依然敞开；共享密码或服务账户曾被共用时，要一并轮换相关密钥。
删除账号会破坏审计关联，事件日志里的 SID 将无法反查到人；先禁用并留存记录，观察期结束后再删除。