РЕШЕНИЕ:
Пример 1: $DaysInactive = 180
$InactiveDate = (Get-Date).AddDays(-$DaysInactive)
Get-ADUser -Filter {(Enabled -eq $true) -and (LastLogonTimeStamp -lt $InactiveDate) -and (SamAccountName -ne 'IUSR_SERVER')} -Properties LastLogonTimeStamp, SamAccountName, DistinguishedName |
Where-Object {$_.DistinguishedName -notlike '*CN=Monitoring Mailboxes*' } |
Select-Object SamAccountName, Name, @{Name='LastLogonDate'; Expression={[DateTime]::FromFileTime($_.LastLogonTimestamp).ToString('MM-dd-yyyy')}},DistinguishedName |
Sort-Object LastLogonTimeStamp
Этот скрипт предназначен для поиска неактивных пользователей в Active Directory, которые не входили в систему в течение указанного периода времени (в данном случае 180 дней).
Сначала задается переменная $DaysInactive, которая устанавливает период неактивности в днях. Затем создается переменная $InactiveDate, которая содержит дату, которая наступила $DaysInactive дней назад.
Далее выполняется запрос к Active Directory с помощью командлета Get-ADUser, который фильтрует пользователей по следующим условиям:
Enabled - пользователь должен быть включен в системе;
LastLogonTimeStamp - время последнего входа в систему должно быть раньше $InactiveDate, то есть пользователь должен быть неактивен в течение периода, заданного в $DaysInactive;
SamAccountName - не равно IUSR_SERVER, чтобы исключить специального пользователя IUSR_SERVER, который используется IIS.
Затем выполняется фильтрация полученных данных с помощью командлета Where-Object. В данном случае, скрипт исключает из результатов пользователей, у которых DistinguishedName содержит строку "CN=Monitoring Mailboxes".
Это ответ на вопрос почему нельзя использовать: DistinguishedName -notlike "*CN=*"
"The wildcard character"*" is allowed, except when the<AD Attribute> is a DN attribute. Examples of DN attributes aredistinguishedName, manager, directReports, member, and memberOf. If the attribute is DN, then only the equality operator is allowed and you must specify the full distinguished name for the value (or the"*" character for all objects with any value for the attribute). Do not enclose the DN value in parentheses (as is done erroneously in some documentation).
Далее с помощью командлета Select-Object определяются свойства пользователей, которые будут включены в вывод. В этом случае выбираются SamAccountName, Name, DistinguishedName и создается новый атрибут LastLogonDate с помощью выражения, которое преобразует LastLogonTimestamp в формат MM-dd-yyyy.
Наконец, команда Sort-Object сортирует результаты по времени последнего входа в систему (LastLogonTimestamp) в порядке возрастания.
ПРИМЕР2 если хотите переместить: $DaysInactive = 180
$InactiveDate = (Get-Date).AddDays(-$DaysInactive)
# Получение пользователя по имени
$usersToMove = Get-ADUser -Filter {(Enabled -eq $true) -and (LastLogonTimeStamp -lt $InactiveDate) -and (SamAccountName -ne 'IUSR_SERVER')} -Properties LastLogonTimeStamp, SamAccountName, DistinguishedName |
Where-Object {$_.DistinguishedName -notlike '*CN=Monitoring Mailboxes*' } |
Select-Object SamAccountName, Name, @{Name='LastLogonDate'; Expression={[DateTime]::FromFileTime($_.LastLogonTimestamp).ToString('MM-dd-yyyy')}},DistinguishedName |
Sort-Object LastLogonDate
# Перемещаем пользователей
$targetOU = "OU=inactive,OU=Companies,DC=mydomain,DC=local"
foreach ($user in $usersToMove) {
Move-ADObject -Identity $user.DistinguishedName -TargetPath $targetOU -WhatIf
}
Примечание: я добавил флаг -WhatIf в конец команды Move-ADObject, чтобы проверить, что все сработает правильно. Убедитесь, что все пользователи отображаются в списке, прежде чем удалить -WhatIf и запустить код.
