我们正在将我们的公司与用于人事管理的第三方工具集成，并将使用 Active Directory 进行 SSO。我们需要被解雇的员工才能登录到这个第三方工具来检索 W-2 之类的东西，但是当他们被解雇时在 AD 中禁用它们似乎可以防止这种情况发生。对此的最佳做法是什么？我们如何才能继续将 AD 用于 SSO，而不会使已终止的员工在 AD 中处于活动状态（即使他们在受限的 OU 中）？
【问题讨论】：
标签： active-directory single-sign-on
如果他们需要针对域进行身份验证，您不能禁用该帐户。但是，您可以限制他们可以登录的位置。
有这个设置拒绝“本地登录”（即他们无法以交互方式登录到任何计算机）：https://4sysops.com/archives/deny-and-allow-workstation-logons-with-group-policy/
但是在任何地方远程登录仍然可能对您来说太开放了。
每个帐户还有“登录到”设置。在 AD 用户和计算机中，在用户对象的帐户选项卡上，有一个“登录到”按钮。您可以在此处指定用户是否可以登录“所有计算机”或仅某些计算机。您也许可以使用它并仅添加他们需要访问的应用程序的服务器名称。
我以前从未亲自使用过该功能，因此您可能需要尝试一下才能使其正常工作。如果您想将其应用于整个用户 OU，则可能还有一种方法可以在组策略中进行设置。
【讨论】：