Gerenciar usuários e grupos do Active Directory pelo PowerShell sem varrer o diretório inteiro

Objetivo

Ler, criar e desbloquear objetos de usuário e de grupo do Active Directory pelo PowerShell, usando o módulo ActiveDirectory e delimitando o escopo para que uma consulta em um diretório grande não se transforme em uma varredura sem limites.

Pré-requisitos

O módulo ActiveDirectory do PowerShell (do RSAT ou instalado em um controlador de domínio); permissão de leitura na OU de destino e, para criar ou desbloquear contas, ser membro de Account Operators ou ter direitos de escrita delegados.

Passos

1. Consulte com um filtro de verdade e apenas as propriedades necessárias: Get-ADUser -Filter "Department -eq 'Finance'" -Properties Mail,Title -SearchBase "OU=Users,DC=contoso,DC=com". A referência do próprio módulo mostra Get-ADUser -Filter * como a forma que retorna tudo — útil para uma OU pequena, mas em um diretório com dezenas de milhares de objetos ela traz pela rede todos os objetos de usuário com todas as propriedades padrão. Sempre adicione -SearchBase e um -Filter específico, ou -LDAPFilter para condições complexas.
2. Crie uma conta de forma não interativa, fornecendo a senha como SecureString: $pw = ConvertTo-SecureString "TempP@ssw0rd!" -AsPlainText -Force; New-ADUser -Name "Jane Doe" -SamAccountName jdoe -UserPrincipalName jdoe@contoso.com -AccountPassword $pw -Enabled $true -ChangePasswordAtLogon $true. O valor literal serve apenas de ilustração, pois ele fica no histórico e nas transcrições; em execuções reais, leia a senha de um cofre de segredos. Não dê à variável o nome $pwd, que é a variável automática do PowerShell para o local atual. Se a senha violar a política do domínio, a conta é criada, mas permanece desabilitada.
3. Adicione a nova conta a um grupo: Add-ADGroupMember -Identity "Finance Team" -Members jdoe.
4. Encontre contas bloqueadas ou inativas em todo o domínio: Search-ADAccount -LockedOut e Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly; ambos aceitam -SearchBase para limitar a busca. A inatividade é avaliada a partir de lastLogonTimestamp, que é replicado e pode ficar até cerca de duas semanas atrasado em relação aos logons reais.
5. Remova o bloqueio: Unlock-ADAccount -Identity jdoe.

Resultado esperado

Get-ADUser retorna apenas o conjunto de resultados delimitado; a nova conta autentica e é solicitada a trocar a senha no primeiro logon; Search-ADAccount -LockedOut deixa de listar a conta depois de Unlock-ADAccount.

Limites e base de verificação

A documentação indica que -AccountPassword em New-ADUser recebe um SecureString, não uma string simples — passar texto puro faz a associação de parâmetros falhar. Para desfazer a criação da conta, use Remove-ADUser -Identity jdoe -Confirm:$false. Uma conta excluída só pode ser restaurada com seu SID e suas associações de grupo por meio de Restore-ADObject se a Lixeira do AD (AD Recycle Bin) tiver sido habilitada antes da exclusão; um dump dos atributos feito com Export-Clixml serve apenas de referência — recriar a conta a partir dele gera um novo SID. Nenhuma dessas operações exige reinicialização; as alterações precisam primeiro ser replicadas ao controlador de domínio usado pelo cliente, e mudanças de associação a grupos só chegam ao token de acesso do usuário no próximo logon (ou, no caso de recursos de rede, depois que os tickets Kerberos forem removidos e obtidos de novo), não em uma sessão já aberta.