Powershell管理系列（二十）PowerShell操作之批量删除OU及解锁的被锁的账号

需求1：听一个朋友说到他们的AD里面的OU是由LDAP程序自动建的，人员较多，7、8万，组织也比较多，奇葩的是他们的程序只会创建，不会删除，日积月累下来，里面有很多无用的OU，想批量删除，但是发现有如下问题：

1、发现每删一个都都取消默认的“防止对象被意外删除”属性，否则无法删除，如下图：

2、其实还有一个问题，他没提，我这里顺便提下，删除的时候如果删除的OU还有子对象的话会提示无法删除。

解决思路：

针对问题1，我们可以找出对应的所有OU及子OU，然后批量修改OU属性反选“防止对象被意外删除”。

针对问题2，我们可以对对应要删除的OU排个序，由于有些OU是中文，有些是英文，DistinguishedName属性排列起来会比较混乱，我们可以取CanonicalName属性，我们会发现这个属性刚好和DistinguishedName属性事相反的，降序排列的话，子OU就会永远都排在父节点OU的前面，这样我们就可以正常逐级删除OU了。

结合上面提到的思路，我们依照如下的脚本批量修改，发现对应的OU都被删除了，如下图：

Import-Module activedirectory
$ou=Get-ADOrganizationalUnit -SearchBase "OU=离职员工,DC=contoso,DC=com" -Filter 'Name -like "*"' -Properties * | Sort-Object CanonicalName -desc 
$ou | set-ADOrganizationalUnit -ProtectedFromAccidentalDeletion $false
$ou | Remove-ADOrganizationalUnit -Confirm:$false

发现OU及子节点都被正常的删除了。               

需求2：查询出被锁的AD账号，并启用之。

Search-ADAccount -LockedOut | Unlock-ADAccount

同样的我们查询密码永不过期的账号，

Search-ADAccount -PasswordNeverExpires

查询所有被禁用的AD账号，计算机，服务账号

Search-ADAccount -AccountDisabled

查询被禁用的AD账户，

Search-ADAccount -AccountDisabled -UsersOnly

查询被禁用的计算机账号，

Search-ADAccount -AccountDisabled -ComputersOnly

查询已过期的AD账号，计算机，服务账号

Search-ADAccount -AccountExpired

本文转自 zhou_ping 51CTO博客，原文链接：http://blog.51cto.com/yuntcloud/1613857，如需转载请自行联系原作者