Linux系统无“未激活账号”内置定义，需通过/var/log/lastlog识别90天内未登录用户，先冻结（usermod -s /sbin/nologin）、再归档、最后删除，并全程审计与自动化闭环。
Linux系统没有“未激活账号”的内置定义，也不存在开箱即用的自动清理机制。所谓“未激活”，实际指创建后从未成功登录、或长期无任何认证活动的账号。这类账号必须通过日志分析+状态判断+分阶段处置来识别和清理，不能依赖单一字段（如密码创建时间或/etc/shadow空密码标记）。
识别真正未活跃的账号
唯一可信依据是 /var/log/lastlog 中记录的最后一次成功登录时间。其他方式均不可靠：
- 不要用 /etc/shadow 的密码修改时间：用户可能改密但从未登录；安装服务时自动生成的账号也可能留有初始密码时间戳
- 不要用家目录 or 文件时间戳：脚本或程序可能写入文件，不代表用户行为
- 不要只看 shell 类型：/sbin/nologin 只说明禁止交互登录，不等于账号闲置
正确命令示例（筛选90天内从未登录的普通用户）：
lastlog -b 90 | awk '$1 !~ /^(root|sync|shutdown|halt|operator|nobody|.*daemon)/ && $5 != "Never" {print $1}'注意：TZ=UTC lastlog -b 90 可避免跨时区服务器因本地时区导致误判。
冻结而非直接删除
冻结是安全前提，给复核留出窗口，且能立即阻断所有交互式访问：
- 执行 usermod -s /sbin/nologin username —— 比 passwd -l 更彻底，SSH 密钥也无法绕过
- 同步清理权限路径：rm -f /etc/sudoers.d/username、crontab -u username -r、sudo systemctl --user disable --now 'app*.service'
- 检查并备份 /home/username/.ssh/authorized_keys 和 .bash_history，必要时清空
确认无业务影响后归档再删除
冻结满30天且无运维反馈，方可进入删除流程：
- 先归档：tar -czf /backup/archive_$(date +%Y%m%d)_username.tar.gz /home/username（保留权限、属主、时间戳）
- 确认无残留进程：ps -u username，若有则记录PID并协调停用
- 执行 userdel -r username 删除账号及主目录；若需保留家目录，省略 -r 并手动清理 /var/spool/mail/username、/tmp/*username* 等位置
- 清理孤立组：getent group | awk -F: '$4 == "" && $3 >= 1000 {print $1}' | xargs -r groupdel
自动化与审计闭环
用 cron + 分阶段脚本实现可追溯、可回滚的自动流程：
- 将识别、冻结、删除拆为三个独立脚本，每阶段生成日志并邮件通知管理员
- 示例定时任务：0 2 1 * * /usr/local/bin/cleanup_inactive_users.sh --phase=freeze >> /var/log/user_frozen.log 2>&1
- 所有操作写入系统审计日志：logger -t user-cleanup "FROZEN: username by $(whoami) on $(date)"
- 归档包保留至少90天，删除操作日志永久存档
