SC AD Hygiene

Анализ и очистка Active Directory

Бесплатно
Active Directory
Windows
v1.0
MIT

Бесплатно и без регистрацииМожно использовать в коммерческих и государственных организациях.
Данные остаются у васИнтерфейс работает в браузере, а скрипты выполняются в вашей сети.
ПрозрачноОткрытый код по лицензии MIT.

01 /

Рабочий интерфейс

Срок неактивности, днейПодразделение (необязательно)Папка для отчёта

Неактивные пользователиВключённые учётные записи без входа дольше срокаНеактивные компьютерыКомпьютеры, не обращавшиеся к доменуПароль без срока действияФлаг PasswordNeverExpires у включённых пользователейПустые группыГруппы без участниковОтключённые пользователиКандидаты на удаление или перенос в архивное OU

#Requires -Modules ActiveDirectory
# SC AD Hygiene — аудит Active Directory. Скрипт только читает каталог.
# https://shmonovstudio.ru/tools/sc-ad-hygiene

Import-Module ActiveDirectory
$Days = 90
$Inactive = New-TimeSpan -Days $Days
$Report = Join-Path 'C:\Reports' ("ad-hygiene-" + (Get-Date -Format 'yyyy-MM-dd'))
New-Item -ItemType Directory -Path $Report -Force | Out-Null
$Base = @{}
$Csv = @{ NoTypeInformation = $true; Encoding = "UTF8" }

# Неактивные пользователи
Search-ADAccount -AccountInactive -UsersOnly -TimeSpan $Inactive @Base |
  Where-Object Enabled |
  Select-Object Name, SamAccountName, LastLogonDate, DistinguishedName |
  Export-Csv (Join-Path $Report "inactive-users.csv") @Csv

# Неактивные компьютеры
Search-ADAccount -AccountInactive -ComputersOnly -TimeSpan $Inactive @Base |
  Where-Object Enabled |
  Select-Object Name, LastLogonDate, DistinguishedName |
  Export-Csv (Join-Path $Report "inactive-computers.csv") @Csv

# Пароли без срока действия
Get-ADUser -Filter 'PasswordNeverExpires -eq $true -and Enabled -eq $true' -Properties PasswordLastSet @Base |
  Select-Object Name, SamAccountName, PasswordLastSet, DistinguishedName |
  Export-Csv (Join-Path $Report "password-never-expires.csv") @Csv

# Пустые группы
Get-ADGroup -Filter * -Properties Members @Base |
  Where-Object { -not $_.Members } |
  Select-Object Name, GroupScope, GroupCategory, DistinguishedName |
  Export-Csv (Join-Path $Report "empty-groups.csv") @Csv

Get-ChildItem $Report -Filter *.csv | ForEach-Object {
  "{0,-32} {1,6} строк" -f $_.Name, ((Import-Csv $_.FullName | Measure-Object).Count)
}
Write-Host "Отчёт сохранён: $Report"

LastLogonDate основан на lastLogonTimestamp и отстаёт до 14 дней — для поиска неактивных объектов этого достаточно.

Загружаем интерфейс…

02 /

Описание

SC AD Hygiene находит объекты, которые засоряют каталог: учётные записи без входа больше заданного срока, отключённые компьютеры, пароли без срока действия и пустые группы.

Конструктор работает прямо в браузере: вы задаёте параметры, а он собирает готовый скрипт PowerShell. Данные домена не покидают вашу сеть — скрипт запускается на вашем сервере и сохраняет отчёт в CSV.

03 /

Возможности

Неактивные учётные записи
Пользователи и компьютеры без входа дольше N дней с учётом lastLogonTimestamp.
Пароли без срока действия
Учётные записи с флагом PasswordNeverExpires — частая находка аудита.
Пустые группы
Группы без участников, которые остались после миграций и проектов.
Отчёт в CSV
Результат сразу открывается в Excel и прикладывается к заявке на очистку.

04 /

Инструкция

Выберите проверки и срок неактивности в конструкторе ниже.
При необходимости ограничьте поиск подразделением (OU).
Скопируйте скрипт и запустите его в PowerShell от имени учётной записи с правами чтения каталога.
Откройте CSV-отчёт и согласуйте список объектов перед отключением.

Скрипт только читает каталог. Отключение и удаление объектов остаётся решением администратора.

05 /

Вопросы и ответы

Скрипт что-то меняет в домене?

Нет. Он использует только командлеты Get-* и Search-ADAccount и сохраняет результат в файл.

Почему lastLogonTimestamp, а не lastLogon?

lastLogonTimestamp реплицируется между контроллерами домена, поэтому одного запроса достаточно. Точность — до 14 дней, для поиска неактивных объектов этого хватает.