一键生成PowerShell脚本，自动查找所有已禁用的AD用…

# 批量移动已禁用AD账号到指定OU的PowerShell方案

一、方案思路

1. 先预览、后执行：先用查询命令确认要移动的账号清单，再执行移动

2. 打日志留痕：所有操作写入日志文件，便于审计和回溯

3. 跳过保护账号：排除特殊账号（如KRBTGT、管理员账号），防止误操作

二、第一步：预览目标账号（不执行任何更改）

```powershell

# 导入模块（通常已在DC上安装）

Import-Module ActiveDirectory

# 查找"离职员工OU以外"的所有已禁用账号

$disabledUsers = Get-ADUser -Filter 'Enabled -eq $false' -SearchBase "DC=example,DC=com" -Properties Enabled, DisplayName

# 查看数量，确认是否约200多个

$disabledUsers.Count

# 导出CSV预览清单（建议先人工核对一遍）

$disabledUsers | Select-Object SamAccountName, DisplayName, DistinguishedName |

Export-Csv "C:\Temp\预览_待移动账号.csv" -NoTypeInformation -Encoding UTF8

```

三、第二步：批量移动脚本（含日志和保护名单）

```powershell

Import-Module ActiveDirectory

# 目标OU

$targetOU = "OU=离职员工,DC=example,DC=com"

# 保护名单：这些账号即使禁用也不移动（按需修改）

$protected = @("krbtgt", "Administrator", "Guest")

# 日志文件

$logFile = "C:\Temp\MoveLog_$(Get-Date -Format 'yyyyMMdd_HHmmss').csv"

# 获取所有已禁用账号

$users = Get-ADUser -Filter 'Enabled -eq $false' -SearchBase "DC=example,DC=com"

$results = foreach ($user in $users) {

if ($protected -contains $user.SamAccountName) {

[PSCustomObject]@{账号=$user.SamAccountName; 结果="跳过(保护名单)"; 时间=Get-Date}

continue

}

try {

Move-ADObject -Identity $user.DistinguishedName -TargetPath $targetOU -ErrorAction Stop

[PSCustomObject]@{账号=$user.SamAccountName; 结果="成功"; 时间=Get-Date}

}

catch {

[PSCustomObject]@{账号=$user.SamAccountName; 结果="失败:$($_.Exception.Message)"; 时间=Get-Date}

}

}

# 输出日志并显示汇总

$results | Export-Csv $logFile -NoTypeInformation -Encoding UTF8

"共处理: $($results.Count) 个 | 成功: $(($results