کارمند سه ماه است از سازمان رفته، اما حساب Active Directory او هنوز Enabled است. یک حساب پیمانکار هم مدتهاست Login نکرده، ولی همچنان عضو چند Group حساس است. در بسیاری از سازمانها چنین حسابهایی نه عمداً فعال نگه داشته شدهاند و نه کسی مالک حذف آنهاست؛ فقط در AD باقی ماندهاند.
Stale Account در ADManager Plus به سازمان کمک میکند حسابهای کاربری بلااستفاده، منقضی یا بدون فعالیت را شناسایی کند و بهجای حذف عجولانه، یک چرخه کنترلشده برای Review، Disable، Move، حذف Group Membership و در نهایت Deletion بسازد.
Stale Account دقیقاً چیست؟
Stale Account حسابی است که هنوز در Directory وجود دارد اما نشانههای استفاده معتبر از آن دیده نمیشود. معیار Stale بودن باید با سیاست سازمان تعریف شود؛ برای مثال Last Logon قدیمی، Password Expired، Account Expired، عدم استفاده در بازه مشخص یا تعلق به کاربری که دیگر در HR فعال نیست.
| سیگنال | ریسک | اقدام اولیه |
|---|---|---|
| Last Logon قدیمی | حساب فراموششده | Review مالک |
| کاربر خارجشده از HR | دسترسی پس از Offboarding | Disable فوری طبق Policy |
| Password Never Expires | ماندگاری Credential | بررسی Exception |
| عضویت در گروه حساس | Privilege Creep | اولویت بالاتر |
چرا حذف مستقیم کار خطرناک است؟
حساب ممکن است به Mailbox، File Ownership، Scheduled Task، Service، Application یا فرآیند قانونی Retention وابسته باشد. بنابراین حذف مستقیم میتواند Recovery و Audit را دشوار کند. مدل مناسب معمولاً چندمرحلهای است: Detect، Review، Disable، Quarantine و سپس Delete.
ADManager Plus چه کمکی میکند؟
ADManager Plus مجموعهای از گزارشهای آماده برای Inactive Users، Account Expiry، Password Expiry و وضعیت کاربران ارائه میدهد. این دادهها میتوانند مبنای Automation و Workflow قرار گیرند تا شناسایی Stale Account از یک Excel دستی به فرآیند تکرارپذیر تبدیل شود.
مرحله ۱: شناسایی
گزارش Inactive Users را با بازهای متناسب با سازمان اجرا کنید؛ مثلاً ۳۰، ۶۰ یا ۹۰ روز. اما Last Logon را تنها معیار ندانید. Service Account، حساب فصلی و حساب اضطراری الگوی متفاوتی دارند.
مرحله ۲: غنیسازی با Context
- Department و Manager؛
- Group Membership؛
- OU؛
- Employee ID؛
- Account Expiry؛
- Mailbox یا Microsoft 365 License؛
- آخرین تغییر Password.
مدل پیشنهادی Quarantine
| مرحله | اقدام | هدف |
|---|---|---|
| Review | تأیید Manager/HR | جلوگیری از False Positive |
| Disable | غیرفعالسازی حساب | قطع Login |
| Move | انتقال به OU قرنطینه | تفکیک عملیاتی |
| Strip Access | حذف Groupهای غیرضروری | کاهش Privilege |
| Delete | حذف پس از Retention | پاکسازی نهایی |
Automation بدون Approval نسازید
ADManager Plus امکان Automation و Workflow میدهد، اما برای حسابهای حساس بهتر است Disable/Delete پشت Approval قرار گیرد. Automation میتواند گزارش را تولید و Action پیشنهادی را آماده کند؛ تصمیم نهایی برای موارد پرریسک توسط Manager، HR یا Security تأیید شود.
Offboarding را از Stale Cleanup جدا کنید
Offboarding باید رویدادمحور و سریع باشد؛ Stale Cleanup یک کنترل دورهای است. مقاله Provisioning و Deprovisioning از HR تا Active Directory برای طراحی چرخه Joiner/Mover/Leaver مناسب است. Stale Account بیشتر نقش کنترل جبرانی دارد تا حسابهایی را پیدا کند که از فرآیند اصلی جا ماندهاند.
Privilege را در اولویتبندی وارد کنید
یک حساب ۹۰ روزه عضو Domain Users با حسابی که عضو Domain Admins یا گروههای حساس است یک ریسک ندارد. برای Review بهتر است امتیاز ریسک بر اساس Inactivity، Privilege و Ownership ساخته شود.
چه KPIهایی بسنجیم؟
| KPI | معنا |
|---|---|
| Inactive Enabled Accounts | حجم Exposure |
| Privileged Stale Accounts | ریسک اولویتدار |
| Mean Time to Disable | سرعت کنترل |
| False Positive Rate | کیفیت Rule |
| Orphan Accounts | حساب بدون Owner معتبر |
ارتباط با Delegation و Access Review
پاکسازی حساب بخشی از Governance هویت است. برای واگذاری امن عملیات روزمره بدون Domain Admin، مقاله Delegation امن Help Desk با ADManager Plus را ببینید. برای بازبینی عضویتها نیز Access Certification در ADManager Plus مکمل مناسبی است.
نکات کلیدی
- Stale بودن باید با چند سیگنال سنجیده شود، نه فقط Last Logon.
- Disable معمولاً از Delete کمریسکتر است.
- حسابهای ممتاز باید اولویت بالاتری داشته باشند.
- Offboarding و Stale Cleanup دو کنترل مکملاند.
- Automation حساس بهتر است Approval داشته باشد.
منابع
- ManageEngine ADManager Plus — Inactive Users
- ADManager Plus — Active Directory Automation
- ManageEngine ADManager Plus
سخن پایانی
Stale Accountها معمولاً نتیجه یک خطای بزرگ نیستند؛ حاصل انباشتهشدن تغییرات کوچک و فرآیندهای ناقصاند. ADManager Plus کمک میکند این حسابها بهصورت دورهای شناسایی، اولویتبندی و با Workflow کنترلشده پاکسازی شوند.
مدانت خدمات خرید و تمدید لایسنس، استقرار، طراحی Workflow، Automation، Delegation و پشتیبانی ADManager Plus را ارائه میدهد. برای طراحی Cleanup Policy یا دریافت پیشنهاد فنی و تجاری از مشاوره مدانت استفاده کنید.
