Stații de lucru

Revizuirea periodica a conturilor inactive din Active Directory si dezactivarea controlata cu PowerShell

• Data 01/10/2026
• Autor Alexandru Iscruleasa
• -2
• 35

In orice domeniu Active Directory se aduna in timp conturi care nu mai sunt folosite: angajati plecati carora nu li s-a inchis contul, conturi de test, conturi create pentru colaboratori externi sau stagiari. Aceste conturi raman active, au parole care nu se mai schimba si reprezinta o poarta de intrare usor de exploatat, pentru ca nimeni nu observa daca sunt folosite de altcineva.

Standardul ISO/IEC 27001:2022 cere revizuirea periodica a drepturilor de acces (controlul A.5.18) si eliminarea accesului care nu mai este necesar. Procedura de mai jos produce un raport lunar cu conturile inactive de peste 90 de zile, il trece printr-o aprobare si apoi dezactiveaza conturile aprobate intr-un mod controlat si reversibil. Raportul si fisierul aprobat raman ca dovada de audit.

Backup

1. Verificati daca este activat Active Directory Recycle Bin. Fara el, un cont sters ulterior nu mai poate fi recuperat cu toate atributele:

Get-ADOptionalFeature -Filter 'Name -like "Recycle Bin Feature"' | Select-Object Name, EnabledScopes

Daca EnabledScopes este gol, functia nu este activa. Activarea ei este ireversibila si se face separat, cu acordul administratorului de domeniu.

2. Exportati starea actuala a tuturor conturilor de utilizator, inainte de orice modificare:

New-Item -ItemType Directory -Force -Path "C:\Audit\AD" | Out-Null
Get-ADUser -Filter * -Properties Enabled, Description, DistinguishedName, LastLogonTimestamp |
    Select-Object SamAccountName, Name, Enabled, Description, DistinguishedName,
        @{N='UltimaLogare';E={ if ($_.LastLogonTimestamp) { [DateTime]::FromFileTime($_.LastLogonTimestamp) } }} |
    Export-Csv "C:\Audit\AD\stare-conturi-$(Get-Date -Format yyyy-MM-dd).csv" -NoTypeInformation -Encoding UTF8

3. Procedura se ruleaza dintr-o consola PowerShell pornita ca Administrator, pe un server sau o statie care are modulul ActiveDirectory (RSAT), cu un cont care are drept de modificare pe conturile vizate.

Pasul 1 – Pregatim grupul de exceptii si OU-ul de carantina

Unele conturi nu se logheaza interactiv niciodata, dar sunt necesare: conturi de serviciu, conturi pentru scanere sau aplicatii, conturi de urgenta (break-glass). Le punem intr-un grup dedicat, ca scriptul sa le ignore:

New-ADGroup -Name "GRP-Exceptii-Inactivitate" -GroupScope Global -GroupCategory Security `
    -Description "Conturi excluse din revizuirea conturilor inactive. Fiecare membru trebuie justificat."
Add-ADGroupMember -Identity "GRP-Exceptii-Inactivitate" -Members "svc-backup","svc-scanner"

Cream si OU-ul in care vor fi mutate conturile dezactivate (inlocuiti DC=firma,DC=local cu domeniul vostru):

New-ADOrganizationalUnit -Name "Conturi Dezactivate" -Path "DC=firma,DC=local" -ProtectedFromAccidentalDeletion $true

Important: daca domeniul este sincronizat cu Microsoft Entra ID (Entra Connect / Cloud Sync) si sincronizarea este filtrata pe OU-uri, OU-ul “Conturi Dezactivate” trebuie inclus in sincronizare. Altfel, la mutare, utilizatorul este sters din Entra ID, iar casuta lui de mail ajunge in starea soft-deleted.

Pasul 2 – Generam raportul cu conturile inactive

Salvam scriptul de mai jos ca C:\Scripts\Raport-ConturiInactive.ps1:

Import-Module ActiveDirectory

$Zile     = 90
$Prag     = (Get-Date).AddDays(-$Zile)
$Folder   = "C:\Audit\AD"
$Raport   = Join-Path $Folder "conturi-inactive-$(Get-Date -Format yyyy-MM-dd).csv"
$Sistem   = @('krbtgt','Administrator','Guest','DefaultAccount')

New-Item -ItemType Directory -Force -Path $Folder | Out-Null

$Exceptii = Get-ADGroupMember -Identity "GRP-Exceptii-Inactivitate" -Recursive |
    Select-Object -ExpandProperty SamAccountName

$Inactive = Get-ADUser -Filter 'Enabled -eq $true' `
        -Properties LastLogonTimestamp, whenCreated, PasswordLastSet, Description, ServicePrincipalName, Manager |
    Select-Object SamAccountName, Name, Description, whenCreated, PasswordLastSet, DistinguishedName,
        @{N='UltimaLogare';E={ if ($_.LastLogonTimestamp) { [DateTime]::FromFileTime($_.LastLogonTimestamp) } }},
        @{N='AreSPN';E={ [bool]$_.ServicePrincipalName }},
        @{N='Manager';E={ if ($_.Manager) { (Get-ADUser $_.Manager).Name } }} |
    Where-Object {
        ((-not $_.UltimaLogare) -or ($_.UltimaLogare -lt $Prag)) -and
        ($_.whenCreated -lt $Prag) -and
        (-not $_.AreSPN) -and
        ($_.SamAccountName -notin $Exceptii) -and
        ($_.SamAccountName -notin $Sistem)
    } |
    Sort-Object UltimaLogare

$Inactive | Export-Csv $Raport -NoTypeInformation -Encoding UTF8
Write-Host "Conturi inactive de peste $Zile zile: $($Inactive.Count). Raport: $Raport"

Ce face filtrul:

• pastreaza doar conturile active care nu s-au logat in ultimele 90 de zile sau nu s-au logat niciodata;
• ignora conturile create in ultimele 90 de zile (angajati noi care inca nu au inceput);
• ignora conturile cu SPN (de regula conturi de serviciu), conturile din grupul de exceptii si conturile de sistem.

Rulam scriptul:

C:\Scripts\Raport-ConturiInactive.ps1

Pasul 3 – Revizuim si aprobam lista

Raportul nu se aplica automat. Il deschidem in Excel si il trimitem managerului fiecarui utilizator sau departamentului HR spre confirmare. Pentru fiecare cont se decide:

• se dezactiveaza;
• se pastreaza, cu justificare (de exemplu concediu prelungit), caz in care contul se adauga temporar in grupul de exceptii.

Liniile aprobate pentru dezactivare se salveaza intr-un fisier separat, de exemplu C:\Audit\AD\conturi-inactive-2026-10-01-aprobat.csv. Acest fisier, impreuna cu emailul de aprobare, este dovada pentru auditul ISO 27001.

Pasul 4 – Simulam dezactivarea cu -WhatIf

Inainte de modificarea reala, rulam procedura in mod simulare. PowerShell afiseaza ce ar face, fara sa schimbe nimic:

$Aprobate   = Import-Csv "C:\Audit\AD\conturi-inactive-2026-10-01-aprobat.csv"
$Carantina  = "OU=Conturi Dezactivate,DC=firma,DC=local"

foreach ($c in $Aprobate) {
    Disable-ADAccount -Identity $c.SamAccountName -WhatIf
    Move-ADObject -Identity $c.DistinguishedName -TargetPath $Carantina -WhatIf
}

Verificam ca lista afisata contine exact conturile aprobate.

Pasul 5 – Dezactivam si mutam conturile aprobate

$Aprobate   = Import-Csv "C:\Audit\AD\conturi-inactive-2026-10-01-aprobat.csv"
$Carantina  = "OU=Conturi Dezactivate,DC=firma,DC=local"
$Data       = Get-Date -Format yyyy-MM-dd
$Jurnal     = "C:\Audit\AD\jurnal-dezactivare-$Data.csv"

$Rezultat = foreach ($c in $Aprobate) {
    try {
        Disable-ADAccount -Identity $c.SamAccountName -ErrorAction Stop
        Set-ADUser -Identity $c.SamAccountName -Description "Dezactivat $Data - inactiv peste 90 zile - revizuire periodica acces" -ErrorAction Stop
        Move-ADObject -Identity $c.DistinguishedName -TargetPath $Carantina -ErrorAction Stop
        [pscustomobject]@{ Cont = $c.SamAccountName; OU_Original = $c.DistinguishedName; DescriereOriginala = $c.Description; Status = 'Dezactivat'; Data = $Data }
    }
    catch {
        [pscustomobject]@{ Cont = $c.SamAccountName; OU_Original = $c.DistinguishedName; DescriereOriginala = $c.Description; Status = "Eroare: $($_.Exception.Message)"; Data = $Data }
    }
}

$Rezultat | Export-Csv $Jurnal -NoTypeInformation -Encoding UTF8
$Rezultat | Format-Table Cont, Status -AutoSize

Jurnalul pastreaza OU-ul si descrierea originala ale fiecarui cont, necesare pentru restaurare.

Pasul 6 – Programam raportul lunar

Programam doar generarea raportului, nu si dezactivarea. Dezactivarea ramane un pas manual, facut dupa aprobare:

schtasks /Create /TN "Raport conturi AD inactive" /TR "powershell.exe -NoProfile -ExecutionPolicy Bypass -File C:\Scripts\Raport-ConturiInactive.ps1" /SC MONTHLY /D 1 /ST 08:00 /RU SYSTEM

Task-ul ruleaza in prima zi a fiecarei luni la ora 08:00 si salveaza raportul in C:\Audit\AD.

Pasul 7 – Stergerea definitiva (dupa perioada de retentie)

Conturile din “Conturi Dezactivate” se pastreaza o perioada stabilita in politica interna, de regula 30-90 de zile. Abia apoi se sterg, tot pe baza unei liste aprobate. Daca Recycle Bin este activ, un cont sters mai poate fi recuperat pe durata configurata in domeniu (implicit 180 de zile).

Impact colateral

Atributul LastLogonTimestamp se replica intre controllerele de domeniu cu o intarziere de pana la aproximativ 14 zile. De aceea pragul se tine la 90 de zile sau mai mult, nu la 15-30 de zile.

Utilizatorii care lucreaza doar in Microsoft 365 (Outlook Web, Teams, OneDrive din browser) pot aparea inactivi in AD-ul local, desi lucreaza zilnic. Inainte de aprobare, verificati in Entra ID ultima autentificare in cloud pentru conturile din raport.

Un cont dezactivat in AD si sincronizat cu Entra ID este blocat si in Microsoft 365: utilizatorul nu mai are acces la mail, Teams si OneDrive. Datele raman pastrate. Conturile folosite de aplicatii, scanere sau task-uri programate, care nu au SPN si nu sunt in grupul de exceptii, pot fi dezactivate gresit si opresc serviciul respectiv. Revizuirea din Pasul 3 exista tocmai pentru a prinde aceste cazuri.

Mutarea intr-un OU nou schimba politicile GPO aplicate contului si poate scoate contul din scopul sincronizarii cu Entra ID, daca OU-ul nu este inclus.

Plan de restaurare in caz de nefunctionare

1. Pentru un singur cont dezactivat gresit, il reactivam si il mutam inapoi in OU-ul original, folosind jurnalul din Pasul 5:

$Jurnal = Import-Csv "C:\Audit\AD\jurnal-dezactivare-2026-10-01.csv"
$c = $Jurnal | Where-Object Cont -eq "ion.popescu"

$OU_Parinte = ($c.OU_Original -split ',', 2)[1]
Enable-ADAccount -Identity $c.Cont
if ($c.DescriereOriginala) { Set-ADUser -Identity $c.Cont -Description $c.DescriereOriginala } else { Set-ADUser -Identity $c.Cont -Clear Description }
Move-ADObject -Identity (Get-ADUser $c.Cont).DistinguishedName -TargetPath $OU_Parinte

2. Pentru toate conturile din jurnal, rulam acelasi bloc intr-o bucla foreach ($c in $Jurnal).
3. Daca un cont a fost deja sters si Recycle Bin este activ, il recuperam cu Get-ADObject -Filter 'SamAccountName -eq "ion.popescu"' -IncludeDeletedObjects | Restore-ADObject.
4. Dupa restaurare, contul trebuie adaugat in grupul GRP-Exceptii-Inactivitate, daca motivul inactivitatii este justificat, ca sa nu apara din nou in raportul urmator.

Script dezarhivare automata arhive multiple dintr-un folder si mutare arhive dupa dezarhivare si verificare

• Data 28/09/2026
• Autor Claudiu Rascol
• 0
• 32

Urmează aceste instrucțiuni pentru a procesa toate arhivele dintr-un folder, una câte una, eliminând riscul de a pierde fișiere.

Pasul 1: Pregătirea terenului

Scriptul folosește 7-Zip pentru a citi fișierele .rar și .zip și pentru a-ți afișa procentele.Asigură-te că ai programul instalat. Dacă nu îl ai, descarcă-l gratuit de pe 7-zip.org.Lasă-l să se instaleze în calea lui standard: C:\Program Files\7-Zip.

Pasul 2: Crearea fișierului de comandă (Scriptul)

Deschide aplicația Notepad (M text) pe calculatorul tău. Copiază textul codului de aici

@echo off
setlocal enabledelayedexpansion

cd /d “%~dp0”
echo Se porneste scriptul de dezarhivare ULTRA-SIGUR…
echo =========================================================
echo.

set “7zip_path=C:\Program Files\7-Zip\7z.exe”
set “folder_siguranta=_Arhive_Procesate”

rem Verificam daca 7-Zip este instalat
if not exist “!7zip_path!” (
echo EROARE: Nu s-a gasit 7-Zip la C:\Program Files\7-Zip\7z.exe
goto final
)

rem Cream folderul de siguranta daca nu exista deja
if not exist “!folder_siguranta!” mkdir “!folder_siguranta!”

for %%F in (*.zip *.rar) do (
set “nume_arhiva=%%~nF”
set “fisier_complet=%%F”

rem Ignoram arhivele care au fost deja mutate in folderul de siguranta
if not “%%F”==”!folder_siguranta!” (
echo.
echo ———————————————————
echo [PROCESARE] Se extrage: !fisier_complet!
echo ———————————————————

if not exist “!nume_arhiva!” mkdir “!nume_arhiva!”

rem Extragere cu afisare procente (%)
“!7zip_path!” x “!fisier_complet!” -o”!nume_arhiva!” -y

if !errorlevel! equ 0 (
if exist “!nume_arhiva!” (
rem Verificam daca folderul destinatie NU este gol
dir /b /a “!nume_arhiva!” | findstr “^” >nul
if !errorlevel! equ 0 (
echo.
echo [SUCCES] Extras complet.
echo [SIGURANTA] Se muta arhiva in: !folder_siguranta!\!fisier_complet!

rem MUTARE in loc de STERGERE (Fisierele tale sunt 100% in siguranta)
move /y “!fisier_complet!” “!folder_siguranta!\” >nul
) else (
echo.
echo [ATENTIE] Folderul !nume_arhiva! este gol. Arhiva NU a fost mutata.
)
)
) else (
echo.
echo [EROARE] Extractia a esuat. Arhiva ramane pe loc.
)
)
)

:final
echo.
echo =========================================================
echo GATA! Toate arhivele au fost mutate in folderul: !folder_siguranta!
pause

și lipește-l în Notepad.

Mergi în meniul de sus la

File ➡️ Save As… (Salvare ca). La secțiunea Encoding (jos, lângă butonul de salvare), schimbă din UTF-8 în ANSI (foarte important pentru a preveni erorile).

La Save as type, selectează All Files (.). Pune-i numele dezarhivare_sigura.bat și apasă Save.

Pasul 3:Rularea și ProcesareaMută fișierul proaspăt creat (dezarhivare_sigura.bat) în folderul exact unde se află toate arhivele tale .zip și .rar.

Fă dublu-clic pe fișierul dezarhivare_sigura.bat pentru a-l lansa

Ce se va întâmpla pe ecranul tău 
Faza 1: Scanarea. O fereastră neagră se va deschide. Scriptul detectează prima arhivă din listă.
Faza 2: Extragerea. Va apărea textul [PROCESARE] și vei vedea programul cum numără în timp real progresul: 0%… 25%… 70%… 100%.
Faza 3: Verificarea. În background, scriptul se asigură că noul folder cu numele arhivei a fost creat și că conține fișierele tale (nu este gol).
Faza 4: Curățenia. Dacă totul este în regulă, pe ecran apare mesajul [SUCCES] Extras complet. Se sterge DOAR arhiva: …. În acest moment, fișierul .zip sau .rar este șters definitiv pentru a-ți elibera spațiu, iar scriptul trece automat la următoarea arhivă.

Ce se întâmplă dacă o arhivă are probleme? Dacă o arhivă este coruptă, descărcată incomplet sau dă o eroare, scriptul va afișa mesajul [EROARE]. Scutul de siguranță se activează instantaneu, dezarhivarea se oprește pentru acel fișier, iar arhiva originală NU va fi ștearsă, fiind lăsată neatinsă ca să nu pierzi nicio informație.