要查看域账户的状态,首先需要明确域账户的状态类型，包括是否启用、是否锁定、密码是否过期、账户是否过期等，这些状态直接影响用户对域资源的访问权限，在Windows域环境中，管理员可以通过多种工具和方法进行查询，以下从不同场景和工具角度详细介绍具体操作步骤。
通过Active用户和计算机管理控制台查看
Active用户和计算机管理（Active Users and Computers）是域管理中最常用的工具，适用于管理员批量或单个查看账户状态，操作步骤如下：
- 以域管理员身份登录域控制器,打开“服务器管理器”，选择“工具”→“Active用户和计算机”。
- 在左侧控制台中展开域节点,找到需要查看的账户所在的组织单位（OU）或容器。
- 右键点击目标账户,选择“属性”，在弹出的属性对话框中切换到“账户”选项卡。
- 此处可查看关键状态信息：
- 账户禁用：若勾选“账户禁用”，则账户当前被禁用，无法登录域资源。
- 用户下次登录时须更改密码：若勾选，用户下次登录时需重置密码。
- 密码永不过期：勾选后密码不会过期，否则需遵循域密码策略。
- 账户过期：可设置具体过期日期，到期后账户自动禁用。
- 若需查看账户锁定状态,切换到“账户锁定”选项卡（需启用“账户锁定策略”），可查看“账户锁定”是否启用及锁定时间。
通过PowerShell命令查看
PowerShell提供了更灵活的命令行查询方式,适合自动化批量操作，常用命令如下：
-
查询单个账户状态：
Get-ADUser -Identity "username" -Properties Enabled, PasswordExpired, AccountLockoutTime, PasswordLastSet, PasswordNeverExpires
Enabled：显示账户是否启用（True/False）。PasswordExpired：密码是否过期（True/False）。AccountLockoutTime：账户锁定时间（若为空则未锁定）。PasswordNeverExpires：密码是否永不过期。
-
批量查询所有账户状态：
（图片来源网络，侵删）Get-ADUser -Filter * -Properties Enabled, PasswordExpired, AccountLockoutTime | Format-Table Name, Enabled, PasswordExpired, AccountLockoutTime -AutoSize
此命令会列出所有账户的名称、启用状态、密码过期状态和锁定时间，可通过
Export-Csv导出为CSV文件方便分析。
通过域用户属性中的“高级”选项查看
对于更详细的状态信息,可通过账户属性的高级选项卡查询：
- 在“Active用户和计算机”中右键点击账户，选择“属性”→“安全”选项卡，点击“高级”。
- 在“高级安全设置”对话框中，切换到“有效访问”选项卡，可查看账户对资源的访问权限是否受限。
- 若需查看账户的登录历史记录,可通过“事件查看器”→“Windows日志”→“安全”，筛选事件ID为4722（账户启用）、4725（账户禁用）、4740（账户锁定）等日志，分析账户状态变更记录。
通过第三方工具查看
除微软官方工具外,第三方管理工具（如ADManager Plus、Lepide Active Directory Reporter等）也提供了更直观的账户状态查询功能，支持生成报表、批量管理等功能，适合大型企业环境。
以下为域账户状态关键参数的快速参考表：
| 状态参数 | 查看位置 | 说明 |
|---|---|---|
| 账户是否启用 | AD用户属性→账户选项卡 | True为启用，False为禁用 |
| 密码是否过期 | PowerShell的PasswordExpired属性 | True为过期，False为未过期 |
| 账户是否锁定 | AD用户属性→账户锁定选项卡 | 显示锁定时间，空值表示未锁定 |
| 密码是否永不过期 | AD用户属性→账户选项卡 | 勾选则永不过期，否则遵循域策略 |
| 账户是否过期 | AD用户属性→账户选项卡 | 设置具体过期日期，到期自动禁用 |
相关问答FAQs
Q1: 域账户被锁定后，如何手动解锁？
A1: 管理员可通过“Active用户和计算机”解锁账户：右键点击锁定账户→“属性”→“账户锁定”选项卡→取消勾选“账户锁定”→点击“确定”，或使用PowerShell命令：Unlock-ADAccount -Identity "username"。
Q2: 如何批量查看域中所有密码过期的账户？
A2: 使用PowerShell命令批量查询：Get-ADUser -Filter * -Properties PasswordExpired | Where-Object {$_.PasswordExpired -eq $true} | Select-Object Name, DistinguishedName，此命令会列出所有密码已过期的账户名称和可分辨名称（DN），方便管理员通知用户重置密码。
