- 1. 禁用账号（Disable-ADAccount / Disable-LocalUser），不立即删除
- 2. 从所有权限组移除（含本地 Administrators、Remote Desktop Users）
- 3. 转移文件/邮箱/云盘数据到交接人
- 4. 收回远程访问（VPN、RDP、WinRM、共享凭据 cmdkey）
- 5. 归档操作记录，观察期后删除或保留备查
常用示例
常用示例
Disable-LocalUser -Name user01
Remove-LocalGroupMember -Group Administrators -Member user01
net localgroup "Remote Desktop Users" user01 /delete
cmdkey /list | findstr /i user01删除账号会破坏审计关联（事件日志里的 SID 反查不到人），先禁用、留存记录再删除。