Cómo encontrar y eliminar cuentas de computadora antiguas en Active Directory
En esta guía, le mostraré cómo encontrar computadoras inactivas en Active Directory.
Las computadoras inactivas pueden generar grandes problemas, como informes inexactos, lentitud en las políticas de grupo, distribución de software, problemas con las actualizaciones de software y problemas de seguridad.
En empresas medianas y grandes, es posible que se sorprenda al saber cuántas computadoras inactivas hay en Active Directory.
En los ejemplos siguientes, demostraré tres herramientas de Active Directory diferentes que puede utilizar para buscar y eliminar cuentas de computadora antiguas.
Vídeotutorial
En este video, demuestro cómo encontrar computadoras inactivas con AD Pro Toolkit y PowerShell.
Primero, es necesario comprender cómo funcionan estos métodos (herramientas). Hay dos atributos que se pueden utilizar para encontrar cuentas de computadora antiguas, son:
- lastLogonTimestamp: los equipos de Active Directory tienen un atributo llamado lastLogonTimestamp. Microsoft creó este atributo para ayudar a identificar computadoras y cuentas de usuario inactivas. Se utiliza para determinar si un usuario o computadora ha iniciado sesión recientemente en el dominio.
- Antigüedad de la contraseña del ordenador: al igual que las cuentas de usuario, los ordenadores tienen una contraseña. Estos se cambian automáticamente cada 30 días. Si una computadora ya no está activa, la contraseña no se actualizará, lo que puede usarse para encontrar computadoras antiguas e inactivas.
Las herramientas utilizadas en este tutorial consultarán la hora del último inicio de sesión o la antigüedad de la contraseña de la computadora para determinar si una computadora está inactiva.
Advertencia: Algunos de estos métodos pueden ser muy peligrosos.
No eliminaría inmediatamente las cuentas de computadora reportadas por estas herramientas. Mi consejo es utilizar estas herramientas para encontrar computadoras obsoletas, deshabilitarlas durante x cantidad de días y luego eliminarlas. Es posible que tenga usuarios de dispositivos móviles, usuarios de VPN y usuarios que trabajan desde casa. Es posible que estas cuentas de computadora no actualicen lastLogonTimestamp porque están fuera de la red. Es más seguro deshabilitar las cuentas; si aún están activas, simplemente puede volver a habilitarlas.
Encuentre computadoras inactivas en Active Directory con la herramienta de limpieza de AD
Creé la herramienta de limpieza de Active Directory para simplificar el proceso de buscar y eliminar cuentas de computadora antiguas en Active Directory. Además de limpiar cuentas de computadora antiguas, también puede encontrar usuarios inactivos, cuentas deshabilitadas, usuarios de cuentas caducadas sin historial de inicio de sesión y grupos vacíos.
Esta herramienta utiliza el atributo lastlogontimestamp para encontrar computadoras antiguas; puede cambiar la inactividad a cualquier número de días.
En este ejemplo, encontraré computadoras que han estado inactivas durante 30 días.
Paso 1. Descargue la herramienta de limpieza de AD
Puede descargar una versión de prueba gratuita de esta herramienta y probarla en su red.
Haga clic aquí para descargar una prueba gratuita
Paso 2. Ingrese el tiempo de inactividad de la computadora
Abra la herramienta e ingrese los días de inactividad (sin inicios de sesión dentro). En este ejemplo, ingresaré en 30 días. A continuación, haga clic en el botón Ejecutar.
Puede optar por buscar en todo el dominio o en una unidad organizativa o grupo específico.
De forma predeterminada, la herramienta encontrará tanto usuarios como computadoras inactivos. Puede ver arriba. Solo tengo una cuenta de computadora que estuvo inactiva durante 30 días, pero hay muchos usuarios inactivos.
Si desea buscar computadoras solo seleccione el botón de filtros y desmarque Usuarios.
Paso 3. Mover las computadoras inactivas a otra unidad organizativa
Este paso es opcional pero me gusta mover las cuentas inactivas a otra unidad organizativa y luego desactivarlas. Puede mover las cuentas de forma masiva seleccionando la(s) cuenta(s) y haciendo clic en el botón mover.
Se le pedirá que seleccione la unidad organizativa a la que trasladar las cuentas.
Cuando haga clic en el botón "Mover", se le pedirá que confirme la acción.
Además, puede hacer clic en el botón "Desactivar" para desactivar las cuentas seleccionadas. Los resultados también se pueden filtrar, buscar, ordenar y exportar a CSV o PDF.
Si desea buscar equipos o usuarios inactivos según el atributo de la última contraseña establecida, haga clic en el botón de columnas y agregue el atributo "pwdLastSet".
Además de lastLogonTimestamp, esto también mostrará cuándo la cuenta cambió su contraseña por última vez. Esto es opcional, solo le brinda más formas de identificar computadoras y cuentas de usuario inactivas.
Características adicionales de la herramienta de limpieza de AD:
- Encuentre todas las computadoras sin historial de inicio de sesión
- Encuentra todas las computadoras deshabilitadas
- Encuentra todas las cuentas de usuario deshabilitadas
- Encuentra todas las cuentas de usuario caducadas
- Encuentra todos los grupos vacíos
- Agregar o eliminar campos adicionales de usuario/computadora a los resultados
Eso es todo por el método 1.
La herramienta de limpieza de AD incluye una prueba gratuita para que pueda probarla en su entorno de AD.
Encuentre computadoras inactivas con la herramienta de línea de comando Oldcmp
Oldcmp es una herramienta de línea de comandos creada específicamente para limpiar cuentas de computadora antiguas. En lugar de comprobar la hora del último inicio de sesión, esta herramienta comprueba la antigüedad de la contraseña de la computadora. De forma predeterminada, verifica 90 días, pero esto se puede cambiar.
Esta herramienta cuenta con muchas medidas de seguridad para evitar que explote Active Directory. Es una herramienta muy poderosa con muchas opciones, lo que la convierte en una excelente opción para automatizar todo el proceso de limpieza. Es una herramienta antigua pero todavía funciona en nuevos controladores de dominio. La probé en un DC de 2016.
Algunas salvaguardas integradas:
- Solo puede eliminar cuentas de máquina que estén deshabilitadas
- Por defecto solo modificará 10 cuentas a la vez, si quieres más tienes que especificar el número.
- Debes incluir la opción FORREAL para realmente hacer cambios.
- No modificará las cuentas del controlador de dominio.
Como dije, se han implementado muchas salvaguardias, lo cual es bueno... créanme.
Veamos cómo utilizar esta herramienta con algunos ejemplos.
Descargar y configurar
Puede descargar oldcmp desde el siguiente enlace.
http://www.joeware.net/freetools/tools/oldcmp/index.htm
Extraiga el archivo zip y coloque oldcmp.exe en algún lugar al que sea fácil acceder desde la línea de comandos.
Puse el mío en c:\it\oldcmp\oldcmp.exe.
Para ejecutar estos comandos, abra el símbolo del sistema y cambie al directorio donde se encuentra el archivo ejecutable.
Ejemplo 1
informe antiguo cmp
Esto generará un informe HTML de computadoras con 90 días o más.
Ejemplo 2
oldcmp -forreal -inseguro
Este ejemplo encontrará cuentas y las deshabilitará.
Ejemplo 3
oldcmp -delete -onlydisabled -unsafe -forreal
Este comando buscará y eliminará cuentas con más de 90 días.
Hay más ejemplos y documentación de todas las opciones de la línea de comandos aquí.
http://www.joeware.net/freetools/tools/oldcmp/usage.htm
Eso es todo por el método 2.
Encuentre cuentas de computadora antiguas con PowerShell
Este último método utiliza Powershell para buscar el último atributo establecido de la contraseña; necesitará cargar el módulo PowerShell Active Directory para que esto funcione.
Paso 1: use el cmdlet Get-ADComputer
El siguiente comando mostrará todas las computadoras por nombre y contraseña, fecha de la última configuración.
get-adcomputer -filter * -properties passwordlastset | select name, passwordlastset | sort passwordlastsetPuedo ver a continuación que hay varias computadoras que no se han reiniciado en mucho tiempo.
El único problema con este comando es que mostrará todas las computadoras del dominio.
Solo me importan las computadoras que no se han reiniciado en los últimos 90 días; hay un par de formas de solucionar esto.
Paso 2. Exporta los resultados a un CSV
Para exportar el informe a un archivo CSV, agregue export-csv y la ruta al final del comando.
get-adcomputer -filter * -properties passwordlastset | select name, passwordlastset | sort passwordlastset | export-csv c:\it\oldcmp\oldexport.csvAhora puedo abrir los resultados en Excel y eliminar fácilmente lo que no quiero.
Paso 3. Agregue una variable de fecha para filtrar las computadoras
Otra opción es crear una variable que ayude a filtrar los resultados. Para hacer esto, usaré el cmdlet get-date para crear una variable que establezca la fecha en hace 90 días.
Aquí está el comando para crear una variable, -90 la establece hace 90 días. Puedes cambiar eso a los días que quieras.
$date = (get-date).adddays(-90)A continuación, incluyo la variable de fecha más el argumento menor que (-lt) en el comando original.
get-adcomputer -filter {passwordlastset -lt $date} -properties passwordlastset | select name, passwordlastset | sort passwordlastsetAhora mostrará sólo las cuentas de computadora que tengan más de 90 días.
Eso es todo por el método 3.
Con suerte, este tutorial te ha resultado útil.
Si tiene preguntas o tiene algún problema, publique un comentario a continuación.