Gestionar usuarios y grupos de Active Directory desde PowerShell sin recorrer todo el directorio

Objetivo

Leer, crear y desbloquear objetos de usuario y de grupo de Active Directory desde PowerShell usando el módulo ActiveDirectory, acotado para que una llamada contra un directorio grande no se convierta en un barrido sin límite.

Requisitos previos

El módulo de PowerShell ActiveDirectory (de RSAT o instalado en un controlador de dominio); derechos para leer la UO de destino, y derechos de Account Operators o de escritura delegados para crear o desbloquear cuentas.

Pasos

1. Consultar con un filtro real y solo las propiedades necesarias: Get-ADUser -Filter "Department -eq 'Finance'" -Properties Mail,Title -SearchBase "OU=Users,DC=contoso,DC=com". La propia referencia del módulo muestra Get-ADUser -Filter * como la forma que coincide con todo — útil para una UO pequeña, pero en un directorio con decenas de miles de objetos extrae por la red cada objeto de usuario y cada propiedad por defecto; siempre hay que añadir -SearchBase y un -Filter específico, o -LDAPFilter para condiciones complejas.
2. Crear una cuenta de forma no interactiva con la contraseña suministrada como SecureString: $pw = ConvertTo-SecureString "TempP@ssw0rd!" -AsPlainText -Force; New-ADUser -Name "Jane Doe" -SamAccountName jdoe -UserPrincipalName jdoe@contoso.com -AccountPassword $pw -Enabled $true -ChangePasswordAtLogon $true. El literal es solo ilustrativo — queda en el historial y en las transcripciones; en ejecuciones reales debe leerse desde un almacén de secretos. No nombrar la variable $pwd, que es la variable automática de PowerShell para la ubicación actual. Si la contraseña incumple la directiva del dominio, la cuenta se crea pero queda deshabilitada.
3. Añadir la cuenta nueva a un grupo: Add-ADGroupMember -Identity "Finance Team" -Members jdoe.
4. Buscar cuentas bloqueadas o inactivas en todo el dominio: Search-ADAccount -LockedOut y Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly; ambos admiten -SearchBase para acotar la búsqueda. La inactividad se determina a partir del lastLogonTimestamp replicado, que puede retrasarse hasta unas dos semanas respecto a los inicios de sesión reales.
5. Eliminar un bloqueo: Unlock-ADAccount -Identity jdoe.

Resultado esperado

Get-ADUser devuelve únicamente el conjunto de resultados acotado; la cuenta nueva se autentica y se le pide cambiar la contraseña en el primer inicio de sesión; Search-ADAccount -LockedOut deja de mostrar la cuenta después de Unlock-ADAccount.

Límites y base de verificación

-AccountPassword en New-ADUser está documentado para recibir un SecureString, no una cadena en texto plano — pasar texto plano hace fallar el enlace del parámetro. Para deshacer la creación de la cuenta, Remove-ADUser -Identity jdoe -Confirm:$false. Una cuenta eliminada solo puede recuperarse con su SID y sus pertenencias mediante Restore-ADObject si la Papelera de reciclaje de AD estaba habilitada antes de la eliminación; un volcado de sus atributos con Export-Clixml es solo una referencia — recrearla a partir de él genera un SID nuevo. Ninguna de estas operaciones requiere reiniciar; los cambios deben replicarse primero al controlador de dominio que usa el cliente, y los cambios de pertenencia a grupos solo llegan al token de acceso de un usuario en el siguiente inicio de sesión (o, para los recursos de red, después de purgar y volver a obtener los tickets Kerberos), no en una sesión ya abierta.