服务器账户自动禁用需按平台定制策略：Linux用lastlog+chage+定时脚本；Windows域用PowerShell扫描lastLogonTimestamp；Oracle用Profile+DBMS_SCHEDULER；SQL Server用SQL Agent更新is_disabled。
服务器账户有效期自动禁用，关键在于“识别闲置”和“触发禁用”两个动作。不同系统没有统一开关，需按平台特性组合策略实现，不能只设个日期就完事。
Linux：靠 lastlog + chage + 定时脚本闭环
Linux 最可靠依据是 /var/log/lastlog（记录最后一次成功登录时间），不是密码修改时间或文件时间戳。
- 先用
lastlog -b 90找出 90 天内没登录的账号，过滤掉 root、daemon 等系统用户 - 对目标用户执行
chage -E $(date -d "today" +%Y-%m-%d) username，设为当天过期——下次登录即拒 - 更稳妥做法是写个每日定时任务（
crontab -e）：0 2 * * * /usr/bin/bash /opt/scripts/disable-inactive-users.sh - 脚本里必须同步清理残留权限：改 shell 为
/sbin/nologin、删/etc/sudoers.d/username、清空crontab -u username -r、停用systemctl --user服务
Windows 域环境：靠 PowerShell + Task Scheduler 自动扫描
AD 原生不支持“闲置自动禁用”，但 lastLogonTimestamp 属性每 14 天更新一次，足够做粗粒度判断。
- 用 PowerShell 检查：获取所有启用状态用户，筛选
lastLogonTimestamp超过 90 天的 - 执行禁用：
Set-ADUser -Identity $user -Enabled $false - 把脚本保存为
disable-stale-users.ps1，通过 Windows 任务计划程序每天凌晨运行 - 务必限定 OU 范围（如
-SearchBase "OU=Staff,DC=corp,DC=local"），避免误操作内置账户
Oracle 数据库：用 Profile + DBMS_SCHEDULER 精确到日
Oracle 不支持直接设“某年某月某日禁用”，但可通过 profile 控制密码生命周期，再用调度器在指定日期执行锁定。
- 创建 profile 并分配给用户：
CREATE PROFILE exp_20261231 LIMIT PASSWORD_LIFE_TIME 365;ALTER USER app_user PROFILE exp_20261231; - 若需严格在 2026-12-31 锁定，建一个数据库作业：
BEGIN DBMS_SCHEDULER.CREATE_JOB(... job_action => 'ALTER USER app_user ACCOUNT LOCK;'); END;
设 start_date 为TO_DATE('2026-12-31 00:00:00', 'YYYY-MM-DD HH24:MI:SS')
SQL Server：T-SQL 定期更新 is_disabled 状态
SQL Server 没有原生账户有效期字段，但可通过 sys.database_principals 表的 is_disabled 列控制登录能力。
- 建一个 SQL Agent 作业，每天运行以下语句：
UPDATE sys.database_principals SET is_disabled = 1 WHERE name NOT IN ('sa', 'dbo') AND type = 'S' AND DATEDIFF(day, create_date, GETDATE()) > 90; - 注意：该逻辑以
create_date为起点，若要按“最后登录时间”，需额外维护自定义日志表或结合 SQL Server 审计功能
