陈旧计算机对象需同时满足：lastLogonTimestamp超90天、账户禁用且无GPO应用、DNS A/SRV记录消失；陈旧用户对象应基于lastLogonTimestamp超180天、排除特殊SID和服务账户、验证邮箱电话为空；推荐用PowerShell预览筛选或ADAC高级视图清理，并验证复制状态、元数据残留及日志异常。
在域控制器中清理陈旧的计算机与用户对象，核心是区分“可安全删除”和“需谨慎处理”的对象类型，并结合时间维度与状态判断。不能仅靠“创建时间”或“最后登录时间”盲目清理，否则可能误删仍在使用但近期未活动的设备或账户（比如休假员工、离线工控机）。实际操作应分两步：先识别，再清理。
识别陈旧计算机对象的关键条件
计算机对象是否陈旧，主要看三项指标是否同时满足：
-
最后登录时间早于阈值：默认AD中计算机账户每7天自动向域发送一次Kerberos TGT请求；若超过90天无
lastLogonTimestamp更新，大概率已离线或废弃 -
账户已禁用且无组策略应用痕迹：检查其是否在
Domain ControllersOU外、且不在任何启用GPO的OU中（避免误删被策略管控的测试机） -
DNS记录同步消失：用
nslookup -type=A hostname.domain.com和nslookup -type=SRV _ldap._tcp.dc._msdcs.domain.com确认A/SRV记录已不存在
识别陈旧用户对象的实用方法
用户对象比计算机更复杂，需排除“静默活跃”情况：
计算机网络安全服务公司网站模板
下载
计算机网络安全服务公司网站模板是一款适合提供云安全、网络安全、服务器管理。数据安全服务公司宣传网站模板下载。提示：本模板调用到谷歌字体库，可能会出现页面打开比较缓慢。
-
不依赖
lastLogon（不复制），而查全林唯一的lastLogonTimestamp（精度约14天），筛选早于180天的对象 -
排除特殊账户：跳过SID以
S-1-5-21-...-500（管理员）、-512（域管理员）、-519（企业管理员）结尾的账户；也跳过svc_、sql_等服务账户前缀 -
验证邮箱与电话字段为空且无Exchange邮箱：用
Get-ADUser -Filter {mail -notlike "*"} -Properties mail,telephoneNumber,msExchRecipientTypeDetails辅助判断
安全清理的两种推荐方式
不建议直接用ADUC图形界面批量删除——易漏检依赖关系。优先采用以下任一方式：
-
PowerShell脚本+预览模式：先运行
Search-ADAccount -ComputersOnly -AccountInactive -TimeSpan "180:00:00" | Where-Object {$_.Enabled -eq $false}列出候选，确认后再加| Disable-ADAccount或| Remove-ADComputer -Confirm:$false -
借助ADAC（Active Directory管理中心）高级视图：启用“高级功能”后，在“查找”中设置复合筛选器：
(&(objectCategory=computer)(lastLogonTimestamp<=133XXXXXXX)(!userAccountControl:1.2.840.113556.1.4.803:=2))，手动勾选清理
清理后必须验证的三件事
删除不是终点，验证才能闭环：
-
检查复制状态：在至少两台不同站点的DC上运行
repadmin /replsum，确保无Failed项 -
核对元数据残留：用
Get-ADObject -Filter {name -eq "old-pc"} -IncludeDeletedObjects确认回收站中无残留（若启用了AD回收站） - 观察日志突增：在事件查看器中检查“Directory Service”日志ID 1988（NTDS General）、4740（账户锁定）是否因误删引发异常告警
