强制通过身份验证的用户立即注销（紧急情况）

在Active Directory中，如果要阻止用户登录，则可以禁用其帐户或仅重置其密码。但是，如果您有一个已经登录到工作站的用户，并且需要阻止他们尽快访问任何资源-您该怎么做？我说的是一种紧急情况，即立即解雇工人，如果不立即将他们拒之门外，就有可能造成严重破坏。

几天前，我也遇到过类似的情况。起初我不确定该怎么做。阻止用户访问网络共享很容易，但这还不够。最终，我使用Stop-Computer -ComputerName <name> -ForcePowerShell cmdlet 关闭了目标计算机，就我而言，这解决了该问题。但是，在某些情况下，这可能不是最佳选择，例如，如果您要切断的用户已登录到多个工作站或提供重要服务的计算机上，而您无法将其关闭。

从所有工作站远程强制立即注销用户的最佳解决方案是什么？在Active Directory中甚至可能吗？

最佳解决方案：保安人员护送人员离开...

第二好的解决方案：

1. 首先，使用qwinsta检查会话号：QWINSTA / server：computername
2. 写下会话ID。
3. 然后使用注销命令：LOGOFF sessionID / server：computername。

C:\>qwinsta /?
Display information about Remote Desktop Sessions.

QUERY SESSION [sessionname | username | sessionid]
              [/SERVER:servername] [/MODE] [/FLOW] [/CONNECT] [/COUNTER] [/VM]

  sessionname         Identifies the session named sessionname.
  username            Identifies the session with user username.
  sessionid           Identifies the session with ID sessionid.
  /SERVER:servername  The server to be queried (default is current).
  /MODE               Display current line settings.
  /FLOW               Display current flow control settings.
  /CONNECT            Display current connect settings.
  /COUNTER            Display current Remote Desktop Services counters information.
  /VM                 Display information about sessions within virtual machines.


C:\>logoff /?
Terminates a session.

LOGOFF [sessionname | sessionid] [/SERVER:servername] [/V] [/VM]

  sessionname         The name of the session.
  sessionid           The ID of the session.
  /SERVER:servername  Specifies the Remote Desktop server containing the user
                      session to log off (default is current).
  /V                  Displays information about the actions performed.
  /VM                 Logs off a session on server or within virtual machine. The unique ID of the session needs to be specified.

我为此写了一个基本的批处理脚本。我也需要一些unixtools路径psexec。

@ECHO OFF
:: Script to log a user off a remote machine
::
:: Param 1: The machine
:: Param 2: The username

psexec \\%1 qwinsta | grep %2 | sed 's/console//' | awk '{print $2}' > %tmp%\sessionid.txt
set /p sessionid=< %tmp%\sessionid.txt
del /q %tmp%\sessionid.txt
psexec \\%1 logoff %sessionid% /v

并非完全基于AD，但是应该做您想要的。

禁用或过期帐户

import-module activedirectory
set-aduser -identity "username" -accountexperationdate "12:09 pm"

要么

set-aduser -identity "username" -enabled $false

然后将用户从其计算机注销

shutdown -m "\\computername" -l

注销用户的另一种方法是从管理命令提示符下使用内置的Windows实用程序

logoff 1 /SEVER:computername

这将从远程计算机注销会话ID 1。如果您不知道会话ID（默认值为1），则可以对远程计算机使用quser来查找它。

您可以使用wmic远程锁定用户的会话：

1-首先，更改用户密码：

C:\> wmic /node:[IPaddr] /user:[Admin] /password:[password] process call
  create "net user [user] [NewPassword]"

2-然后，禁用帐户：

C:\> wmic /node:[IPaddr] /user:[Admin] /password:[password] process call
  create "net user [user] /active:no"

3-然后，断开用户会话：

C:\> wmic /node:[IPaddr] /user:[Admin] /password:[password] process call
  create "tsdiscon"

这具有附加值，因为您不会丢失当前的用户会话，因此，当您解锁工作站时，您将能够看到他在陪同下来之前是否在做讨厌的事情。

命令行功夫博客的所有学分。那里有一堆疯狂的与安全/取证相关的东西！

更新：前两个步骤是针对本地用户的，在活动目录环境中实际上更容易，在AD中禁用帐户并更改密码，然后针对恶意用户IP地址运行第3个命令。

只需在用户属性中将登录时间更改为所有时间都拒绝登录即可。这将立即将他们注销，使其不再登录。