ADのベストプラクティスは削除しますか、それとも単に無効にしますか？
ITシステム、サーバー、その他すべてをお客様に提供するIT企業として。 Active Directoryと会社を辞めるユーザーに関しては、ベストプラクティスを見つけようとしています。私たちは、大小を問わず、さまざまな種類のビジネスにさまざまなタイプの貸衣装を持っています。そのため、維持するサーバーとActiveDirectoryがかなりあります。 ADでUserオブジェクトを削除してはならない、これはユーザー名を再利用する場合の大きなセキュリティ問題であると言われました。私が言われた理由は、新しいユーザーが以前に使用されたのと同じユーザー名を取得するリスクであり、それは彼が持つべきではないアクセスを彼に与えるかもしれません。セキュリティグループを介さずに共有フォルダに直接付与されたアクセスと同様です。
私はこのトピックに関する多くのドキュメントや他のフォーラム投稿を調査して読んだことがありますが、よくわかりません。 ADについて私が学んだことはすべて、ユーザー名とは関係のないすべてのオブジェクトに一意のSIDを使用するということです。ユーザー名は変更できるため、SIDを変更したり再利用したりすることはできません。私が見つけたところによると、ADでアカウントを無効として長期間保存することには大きなリスクさえあるように見えますか？
ユーザー名をハッシュに変換するスクリプトを作成する可能性を検討しました。このスクリプトはデータベースに保存され、ユーザー名が使用可能か以前に使用されたかどうかをADで確認できます。したがって、一定期間後にユーザーオブジェクトを削除できます。しかし今、古いユーザー名の再利用が実際に非常に悪いのであれば、このすべての作業を行う理由が本当にあるのだろうかと思います。一部の貸衣装業者のADには、2歳以上の2000人の障害者ユーザーがいます。ユーザーから分離してouを無効にした新しい「OU」を作成しましたが、ユーザー名が再利用されないようにオブジェクトをサーバル年間保持する理由がわからないため、ADから削除したいと考えています。
これに関する既知のベストプラクティスがあるかどうか疑問に思っています。一般的な方法は何ですか。ユーザー名を再利用する、または「永久に」保存する最大のリスクはありますか？ LDAPクエリ、シトリックス、エクスチェンジ、またはその他のシステムに関連する問題はありますか？
良いアドバイスや情報をありがとうございます。
「ユーザー名を再利用しない」ということは、私にはカーゴカルトシステムの管理のように聞こえます。 ADのユーザー権限は、内部的にユーザー名に割り当てられるのではなく、ユーザーオブジェクトのセキュリティ識別子（SID）に割り当てられます。これは、すべての目的と目的で一意です。言い換えれば、別のJohn Smithが雇われたときに、さまざまな名前空間を明確に保つよりも、古くて無効になっているユーザーアカウントを維持する方が大きなリスクを冒していると言えます。
あなたの名前からすると、GDPRまたは同様の法律の対象となる可能性があります。その場合、ユーザーデータを不必要に長く保持しすぎると、損失を被ることになります。
つまり、ADに対しても、適切で機能するバックアップ戦略があることを確認してください。 ADごみ箱機能を妥当な時間アクティブにすることをお勧めします。次に、ユーザーアカウントを削除し、ユーザーの雇用が終了したときにデータを削除する手順を作成してテストします。