Cómo encontrar cuentas de usuario de Active Directory deshabilitadas

En esta guía, aprenderá cómo encontrar usuarios discapacitados en Active Directory usando PowerShell y una herramienta GUI.

Los piratas informáticos o los empleados descontentos pueden habilitar y utilizar cuentas de usuario deshabilitadas para obtener acceso a la red. Saber cómo encontrar rápidamente cuentas de usuario deshabilitadas puede mejorar la seguridad y ayudar a mantener su dominio organizado.

Tabla de contenido:

• ¿Cuánto tiempo se deben mantener las cuentas de usuario deshabilitadas?
• Método 1: buscar usuarios discapacitados en AD con la herramienta GUI
• Método 2: buscar usuarios deshabilitados en AD con PowerShell

¿Cuánto tiempo se deben mantener las cuentas de usuario deshabilitadas?

Cuando una cuenta de usuario de Active Directory está deshabilitada, permanece en Active Directory hasta que un administrador la elimina. Las cuentas deshabilitadas generalmente se conservan entre 30 y 90 días antes de eliminarlas. Esto le da tiempo al gerente o a la nueva persona para obtener los archivos o correos electrónicos que pueda necesitar del empleado anterior.

Su organización debe definir el período de tiempo para mantener las cuentas de usuario deshabilitadas, ya que las cuentas de los empleados son utilizadas por otros sistemas, como recursos humanos y nómina.

Como administrador de Active Directory, debe tener un proceso para encontrar cuentas de usuario deshabilitadas y otras cuentas de usuario inactivas. Estas cuentas deben desactivarse y luego eliminarse según las políticas de su organización.

Método 1: buscar usuarios discapacitados en AD con la herramienta GUI

En este ejemplo, usaré Active Directory Pro Toolkit para obtener una lista de cuentas de usuario deshabilitadas.

1. Ejecutar informe de usuarios deshabilitados

Haga clic en Informes y en Estado de la cuenta, haga clic en Usuarios deshabilitados.

A continuación, haga clic en el botón Ejecutar para generar un informe de todos los usuarios discapacitados.

En la captura de pantalla anterior puede ver que el kit de herramientas generó una lista de todos los usuarios deshabilitados en Active Directory. Puede limitar fácilmente el informe a una unidad organizativa o grupo haciendo clic en el botón Examinar. También puede agregar y eliminar propiedades de usuario haciendo clic en el botón de columnas.

2. Informe de exportación

Si necesita exportar el informe, haga clic en el botón exportar y elija entre CSV, XLSX o PDF.

Como puede ver, AD Pro Toolkit hace que sea muy rápido y fácil generar informes sobre cuentas de usuario desde Active Directory. Puede descargar una versión de prueba gratuita de AD Pro Toolkit y probarla en su dominio.

Método 2: buscar usuarios deshabilitados en AD usando PowerShell

En este ejemplo, usaré Powershell para buscar cuentas de usuario deshabilitadas. Le mostraré dos comandos de PowerShell diferentes que muestran los resultados de manera un poco diferente.

Ejemplo 1. Obtener todos los usuarios discapacitados con PowerShell

Get-ADUser -Filter {Enabled -eq "False"}

Este comando enumerará todos los usuarios deshabilitados de todo el dominio. Este comando devuelve no sólo el nombre de usuario sino muchos otros atributos. En la mayoría de los casos, solo necesitará el nombre de usuario.

Ejemplo 2: Obtener todos los usuarios deshabilitados y filtrar propiedades

Get-ADUser -Filter {Enabled -eq "False"} | select name, enabled

En este ejemplo, filtraremos la salida para mostrar solo el nombre del usuario y el estado de la cuenta.

Ejemplo 3. Buscar usuarios discapacitados en OU

Get-ADUser -Filter * -SearchBase "OU=Accounting,OU=ADPRO Users,DC=ad,DC=activedirectorypro,DC=com" -Property Enabled | Where {$_.Enabled -like "False"} 

Este comando obtendrá todos los usuarios deshabilitados de una unidad organizativa específica. Cambie SearchBase al DN de la unidad organizativa que desea buscar.

Una tercera opción para encontrar todos los usuarios discapacitados es utilizar la consola ADUC. La consola ADUC carece de muchas funciones en comparación con PowerShell y AD Pro Toolkit.

Abra la consola ADUC, haga clic en el botón buscar objetos en la barra superior y luego cambie las opciones de búsqueda a "Consultas comunes". Ahora simplemente seleccione "Cuentas deshabilitadas" y haga clic en buscar ahora.

Puede ver arriba que esto muestra los usuarios deshabilitados, pero no hay detalles de usuario adicionales disponibles, tampoco hay opción para exportar la lista de usuarios.

Resumen

Les mostré dos ejemplos de cómo encontrar cuentas de usuario deshabilitadas en Active Directory. La mayoría de las organizaciones tienen la política de dejar las cuentas inhabilitadas durante un período de tiempo, como 30 días. Si no cuenta con un procedimiento para regresar y eliminar la cuenta, su Active Directory se convertirá en un desastre. Esto es importante para mantener su entorno AD seguro y organizado.