Active Directory对象生命周期管理需覆盖创建、使用、变更到停用/删除全过程，通过自动化、审计与合规控制减少僵尸账户、权限残留及横向移动风险。
active directory 对象生命周期管理不是简单地“创建后不管”，而是围绕用户、组、计算机等对象从创建、使用、变更到停用/删除的全过程，建立可执行、可审计、自动化的控制机制。核心目标是减少僵尸账户、避免权限残留、降低横向移动风险，并满足合规要求。
用户账户：入职-在职-离职全链路闭环
用户账户生命周期必须与 HR 系统联动，不能靠人工同步。关键动作包括：
- 入职时：通过自动化流程（如 Microsoft Entra ID 生命周期工作流）触发 AD 用户创建，同步分配初始组、邮箱、设备策略，禁止手动建号
- 在职中：定期扫描无登录记录（如90天未登录）、无邮箱活动、无MFA注册的账户，标记为待审查；对特权账户启用会话限制和操作日志增强
- 离职时：HR 系统发起离职事件后，1小时内禁用 AD 账户、移出所有安全组、撤销所有应用访问令牌；72小时内清空邮箱归档并删除账户（或转入保留OU供审计）
组对象：按用途分级+自动续期或清理
AD 中的组（尤其是安全组）是权限传递的关键载体，失控即等于权限失控。应区分三类组并配置不同策略：
- 永久组（如 Domain Admins、IT-Support）：由 Tier 0 管理员严格审批，禁用自动过期，但需每季度人工复核成员
-
业务项目组（如 Project-X-Contributors）：绑定 Azure AD 组生命周期策略，设置
-GroupLifetimeInDays 180，到期前7天向-AlternateNotificationEmails发送提醒，无人续期则自动解散 - 临时访问组（如 Vendor-Access-Q3）：创建时强制填写有效期，由脚本每日检查，超期立即清空成员并禁用组对象
计算机对象：动态纳管+静默退役
域内计算机对象长期不清理，会导致 SID 冲突、组策略处理延迟、攻击面扩大。建议：
- 新设备加入域时，自动打上 OU 标签（如
Tier 2\Workstations\Region-A）和描述字段（含采购日期、责任人） - 启用
ms-Mcs-AdmPwdExpirationTime或 LAPS 策略确保本地管理员密码定期轮换，同时监控该属性是否长期未更新（超过60天） - 对连续30天未联系域控制器（
LastLogonTimestamp过旧）的计算机对象，自动移入Stale-ComputersOU 并触发通知；60天未响应则禁用对象，90天后脚本彻底删除
策略落地依赖基础架构准备
再好的生命周期策略也需底层支撑：
- 确保所有域控制器时间同步（NTP），否则
LastLogonTimestamp和策略触发时间不可靠 - 为自动化任务（如清理脚本、同步服务）配置专用托管服务账户（gMSA），避免使用普通域账户导致密码过期中断
- 在元宇宙（MV）或 Entra ID Connect 中启用“软匹配”和“硬删除同步”，确保 AD 删除操作能准确反映到下游系统（如 SaaS 应用）
- 所有生命周期操作日志必须写入 Windows 事件日志（4720、4726、4732 等事件ID）并转发至 SIEM，保留至少180天
