Архитектура деактивации учетных записей в AD

Событие 4725 фиксируется в журнале Security на контроллерах домена или рядовых серверах при установке флага ACCOUNTDISABLE (0x0002) в атрибуте userAccountControl учетной записи. Симптомы: пользователь мгновенно теряет возможность выполнять новую аутентификацию (Logon Type 2, 3, 10), а попытки входа блокируются со статусом >4625 (SubStatus 0xC000006E - STATUS_ACCOUNT_DISABLED).

Поля события Event ID 4725

Сценарии аудита и автоматизации деактивации

Сценарий 1: Аудит несанкционированного отключения учетных записей

Поиск событий отключения учетных записей за последние 7 дней для расследования жалоб пользователей.

# Поиск администраторов, отключивших пользователей
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4725; StartTime=(Get-Date).AddDays(-7)} | 
    Select-Object TimeCreated, 
    @{N='DisabledUser';E={$_.Properties[0].Value}}, 
    @{N='TargetSID';E={$_.Properties[2].Value}}, 
    @{N='PerformedBy';E={$_.Properties[4].Value}} | Format-Table -AutoSize

Сценарий 2: Завершение активных сессий отключенного пользователя

Отключение учетной записи в Active Directory блокирует только новые входы. Существующие Kerberos TGT-билеты и открытые сессии RDP/SMB могут продолжать работать до 10 часов.

# Принудительный сброс активных сессий пользователя на серверах RDS
Import-Module RemoteDesktop
Get-RDUserSession | Where-Object {$_.UserName -eq "Ivanov"} | 
    Disconnect-RDUser -Force

Сценарий 3: Реактивация учетной записи в случае ошибки

Если учетная запись была отключена ошибочно регламентным скриптом:

# Включение учетной записи через PowerShell ActiveDirectory модуль
Enable-ADAccount -Identity "Ivanov"

Типовые ошибки администраторов

• Надежда на мгновенный обрыв связей: Отключение учетной записи в AD не отзывает выданные OAuth-токены Microsoft 365 / Azure AD мгновенно. Для облачных сервисов требуется выполнить Revoke-AzureADUserAllRefreshToken.