在活动目录中清扫“垃圾”

■ 河南 刘京义

编者按：对于活动目录来说，当其运行了较长的时间后，往往会产生一些无用的信息。这些垃圾信息会带来一些负面影响，所以发现和清除垃圾信息，是很有必要的。

删除陈旧的用户和计算机账户，是清理活动目录的关键所在。利用LastLogon和LastLogonTimeStamp属 性，可以判断目标账户是否处于活跃状态。

以管理员身份登录域控，打开Active Directory活动目录和计算机窗口，点击工具栏上的“查看”-“高级”项，使之处于选择状态。

选择目标用户，在其属性窗口中打开“属性编辑器”面板，在列表中的“lastLogon”栏中显示上次登录时间。对于多台域控来说，可以在CMD窗口中执行“echo%LogonServe r%” 命 令，显示其在哪台域控上登录的。在不同的域控上查看，可以看到目标账户的“LastLogon”属性信息没有复制，但是对于“LastLogonTimeStamp”属性值来说，是可以相互复制的。使用AD Tidy这款工具，可以发现和清除AD中陈旧的账户信息，但在使用时出于安全考虑，需开启活动目录的回收站功能，之后将找到的陈旧账户先存放到制动的OU中，并将其禁用一段时间（例如半个月等），当确认没有问题后再将其删除。

如果发现删除了正常的用户，可以及时将其恢复，这样不会造成不利的影响。

在AD Tidy主界面中的“Report”面板工具栏列表中选择域名，点击“Users”按钮，针对用户信息进行扫描，点击“Start”按钮开始扫描域中的所有用户信息，在“Manual”栏中显示搜索到的所有用户，在对应用户的“Last Logon Date”列中显示其上一次登录时间，在“Last Logon DC”列中显示上一次登录的域控名称。

根据这些信息，找到并选中陈旧的用户，在“Actions”面板中点击“Delete”按钮将其删除。

不过为了稳妥起见，最好点击“Move”按钮，在域控上执行“dsa.msc”程序，打开Active Directory用户和计算机窗口，在其中创建名为“Denyusr”的 OU，用来存储这些不活跃的用户。之后点击删除工具栏中“Move”按钮，在打开窗口中点击“Select Container”按钮，选择上述OU，将这些用户移动进来。

在“Report”面板中选择“Computers”项，点 击“Start”按钮，对目标域中的所有计算机账户进行扫描，之后按照同样的方法将其移动到指定的OU中。

在启用AD回收站时，必须保证林和域功能级别都是Windows 20058 R2。这里以Windows Server 2008 R2为例进行说明，在PowerShell窗口中执行“Import-Module ActiveDirectory”命令，导入AD模块。

执行“Get-ADForest”命令，查看当前林功能级别。

执行“Get-ADDomain”命令，查看域的功能级别。

如果当前林功能级别不符合要求，可以执行“Set-ADForestMode -Identity xxx.com -ForestMode Windows2008R2Forest”命令进行提升，其中的“xxx.com”为具体的域名。

执 行“Get-ADDomain |Select Name”命令，可以显示当前的域名。

执 行“Get-ADOptionalFeature -Filter*”命令，会显示AD回收站是否启用。

执 行“Enable-ADOptional Feature'Recycle Bin Feature' -S c o p e ForestOrConfigurationSet-Target 'xxx.com'”命令，可以启动AD回收站。

注意：一旦开启该功能将无法撤销。

当开启了AD回收站之后，就可以在上述OU中删除陈旧的账户了。

当 然，对 于Windows Server 2008 R2来说，当用户被删除后，默认会在AD数据库中保存180天。如果发现误删了用户，可以对其进行恢复。

注意：在恢复之后必须保证其SID与之前是一致的。

执 行“Get-ADUser –Identity newuser”命令，在返回信息中可查看指定用户SID信息。在恢复时，可执行ADRecycleBin工具，在其主界面中点击“Load Deleted Objects”按钮，会显示已删除对象。选择需恢复的对象，点 击“Restore Checked Objects”按钮即可。