需求1：听一个朋友说到他们的AD里面的OU是由LDAP程序自动建的，人员较多，7、8万，组织也比较多，奇葩的是他们的程序只会创建，不会删除，日积月累下来，里面有很多无用的OU，想批量删除，但是发现有如下问题：
1、发现每删一个都都取消默认的“防止对象被意外删除”属性，否则无法删除，如下图：
2、其实还有一个问题，他没提，我这里顺便提下，删除的时候如果删除的OU还有子对象的话会提示无法删除。
解决思路：
针对问题1，我们可以找出对应的所有OU及子OU，然后批量修改OU属性反选“防止对象被意外删除”。
针对问题2，我们可以对对应要删除的OU排个序，由于有些OU是中文，有些是英文，DistinguishedName属性排列起来会比较混乱，我们可以取CanonicalName属性，我们会发现这个属性刚好和DistinguishedName属性事相反的，降序排列的话，子OU就会永远都排在父节点OU的前面，这样我们就可以正常逐级删除OU了。
结合上面提到的思路，我们依照如下的脚本批量修改，发现对应的OU都被删除了，如下图：
Import-Module activedirectory
$ou=Get-ADOrganizationalUnit -SearchBase "OU=离职员工,DC=contoso,DC=com" -Filter 'Name -like "*"' -Properties * | Sort-Object CanonicalName -desc
$ou | set-ADOrganizationalUnit -ProtectedFromAccidentalDeletion $false
$ou | Remove-ADOrganizationalUnit -Confirm:$false
发现OU及子节点都被正常的删除了。
需求2：查询出被锁的AD账号，并启用之。
Search-ADAccount -LockedOut | Unlock-ADAccount
同样的我们查询密码永不过期的账号，
Search-ADAccount -PasswordNeverExpires
查询所有被禁用的AD账号，计算机，服务账号
Search-ADAccount -AccountDisabled
查询被禁用的AD账户，
Search-ADAccount -AccountDisabled -UsersOnly
查询被禁用的计算机账号，
Search-ADAccount -AccountDisabled -ComputersOnly
查询已过期的AD账号，计算机，服务账号
Search-ADAccount -AccountExpired
本文转自 zhou_ping 51CTO博客，原文链接：http://blog.51cto.com/yuntcloud/1613857，如需转载请自行联系原作者
