### 删除一段时间未登录域的用户或计算机的知识点详解
#### 一、背景介绍与需求分析
在企业网络环境中，管理员经常需要对长时间未使用的计算机账户进行管理，这不仅有助于资源的有效利用，还能增强网络安全。本文将详细介绍如何使用`dsquery`命令及`OldCmp`工具来查找、禁用或删除非活动的计算机账户。
#### 二、`dsquery`命令简介
`dsquery`是Microsoft提供的一个用于查询Active Directory中对象的强大工具。通过`dsquery`，管理员可以查询特定条件下的用户、组或计算机等信息。虽然本文主要介绍`OldCmp`工具的使用方法，但了解`dsquery`的基本用法对于日常管理工作仍然非常有用。
#### 三、`OldCmp`工具详解
`OldCmp`是一个非常实用的工具，它可以用来搜索、禁用或删除非活动的计算机账户。下面将详细介绍其使用方法。
#### 1. `OldCmp`基本用法
- **-report**：此选项用于生成HTML格式的报告，列出所有非活动的计算机账户。
- **-disable**：此选项用于禁用非活动的计算机账户。
- **-delete**：此选项用于删除非活动的计算机账户。
当仅使用`-report`选项时，`OldCmp`将在默认域中查找所有密码老化日期超过90天的计算机对象，并生成一个HTML报告。如果域非常大且包含大量计算机账户，这个过程可能需要较长时间。为了加快执行速度，可以使用`-b`选项指定特定的组织单元(OU)。
#### 2. 高级选项
- **-file**：用于指定生成的HTML报告的保存位置，默认保存在工具的运行目录下。
- **-sh**：此选项用于在生成HTML文件后自动打开它。
#### 3. 批处理脚本
为了实现自动化管理，可以创建批处理脚本来定期执行上述操作。例如，表1展示了一个创建非活动计算机账户报告的批处理脚本示例：
```bat
oldcmp -report -file c:\inactive.html
blat c:\inactive.html -to XXX@XXX.com -html
```
这里使用了`blat`工具将报告通过邮件发送出去，`blat`工具可以从[http://blat.net](http://blat.net)下载。
#### 4. 删除与禁用账户
对于需要定期清理非活动账户的情况，可以创建另一个批处理脚本来完成这项工作。表2展示了具体的脚本示例：
```bat
oldcmp -delete -onlydisabled -safety 100 -forreal -append -file c:\deleted_comps.html
blat c:\deleted_comps.html -to XXX@XXX.com -html
oldcmp -disable -age 180 -safety 100 -forreal -append -file c:\disabled_comps.html
blat c:\disabled_comps.html -to XXX@XXX.com -html
```
在这个脚本中，首先会删除已经被禁用的计算机账户，并生成报告。然后，禁用所有密码老化日期超过180天的计算机账户，并同样生成报告。这些操作都会通过邮件发送给管理员。
#### 5. 安全性考虑
在编写`OldCmp`时，开发者添加了一些安全措施来防止意外删除或禁用大量的计算机账户。主要包括：
- **-safety**：此选项用于限制可以删除或禁用的账户数量，默认情况下不会删除或禁用超过10个账户。可以通过设置更高的数值来增加这个限制。
- **-forreal**：此选项用于真正执行删除或禁用操作。如果不使用此选项，`OldCmp`只会报告将要执行的操作，而不会实际执行。
#### 四、实施步骤
1. **安装工具**：确保已经安装了`OldCmp`和`blat`工具。
2. **配置环境**：将这两个工具的路径添加到系统环境变量`PATH`中。
3. **创建批处理文件**：按照上述示例创建批处理文件。
4. **测试**：在正式使用前，应该先去除`-forreal`选项，运行批处理文件以确保`OldCmp`将要删除或禁用的账户无误。
5. **计划任务**：设置计划任务定期执行批处理文件。
#### 五、总结
通过使用`OldCmp`工具及其配套的批处理脚本，可以有效地管理长时间未使用的计算机账户，提高网络的安全性和效率。需要注意的是，在执行任何删除或禁用操作之前，都应该充分测试并确认操作的正确性，以避免不必要的损失。
