许多组织面临的一个挑战是，其Active Directory 域服务（AD DS）域中的组激增，尤其是安全组。 组织可能会为项目创建安全组，但随着时间推移，这些安全组可能不再需要。 这些组可能在域中无人维护。
组清理可减轻管理负担和风险，并防止未使用的组同步到 Microsoft Entra。 本文概述了如何分析组并使用 scream test 方法识别和删除 AD DS 域中未使用的组。 在尖叫测试法中，管理员标识可能不再需要的资源，暂时使该资源不可用，并等待查看是否有人通知管理员他们受到影响。 如果没有人报告受到影响，管理员将继续清理资源。
首先，确定每个组是否需要使用基于 AD DS 的管理工具（例如 Active Directory 用户和计算机）进行管理，还是使用 Microsoft Entra 管理中心 或 Exchange Online 在云中管理，或者可能不需要。 在某些情况下，尖叫测试表明某个组仍然必需，以及应在 Microsoft Entra ID 还是 AD DS 域中对其进行管理。 如果可能不需要该组，可以运行多个 scream test，以确定它是否处于活动状态。 如果不再处于活动状态，可以从 AD DS 域将其删除。
清理范围内的组类型
AD DS 拓扑中的安全组和通讯组（DL），具有单个林、单个域。 多林或多域环境、工作组、已加入域的计算机上的本地组或其他环境不在本文的范围内。
成员为用户或其他组且在同步到 Microsoft Entra 范围内的组。 包含作为成员的计算机、联系人或其他对象的组不在本文的范围内。
使用 Active Directory 用户和计算机、Microsoft Identity Manager（MIM）或其他标识管理工具在 AD DS 中创建的组。 本文不介绍内置组或由其他产品创建的组。
Prerequisites
必须先完成这些先决条件，然后才能开始使用此方法删除未使用的组：
需要域管理员组中的成员身份或类似权限才能更新、移动和删除组。
需要能够更改 Microsoft Entra Connect Sync 或 Cloud Sync 的范围以包含或排除组。
需要为所有可写域控制器创建组策略对象（GPO），以便记录 AD DS 对象修改，并为收集的日志设置中央存储库。 有关详细信息，请参见:
你需要在域中创建两个组织单元（OU），一个用于临时 Kerberos 应用冒烟测试组，另一个用于临时轻型目录访问协议（LDAP）应用冒烟测试组。
对域名执行分组分析
组分析的目标是查看并确认域中的哪些组是：
AD DS 集成应用程序所必需，并使用 AD DS 集成工具进行管理。
对于 AD DS 集成的应用程序，需要使用 Microsoft Entra 或 Exchange Online 进行管理，其成员身份会写回到 Microsoft Entra。
AD DS 域中可能不再需要，但在连接到 Microsoft Entra 的服务中仍然需要，并且可仅在 Microsoft Entra 中维护。
对于与 AD DS 或 Microsoft Entra 集成的任何应用程序，不需要此项。
第一步是识别和分类您的域中需要分类处理的组。 对于拥有数千个组的大型组织，需要选择一个顺序来评估组。 顺序可以基于以下因素：
- 组类型（安全组、启用邮件的安全组或通讯组列表）
- 组组织单元（OU）
- 组大小和成员
- 组嵌套（组是 AD DS 域中另一个组的成员）
选择要分析的合理大小的未分类的组。 根据每个组的类型，请参阅后续部分，了解分析这些组是否存在潜在清理的步骤：
对该批执行其中一项分析后，请继续执行下一批未分类组。 分析所有组后，scream test 即告完成。
通讯组或启用邮件的安全组的分析
查看是否已为Exchange或Exchange Online中的组设置所有者。 请联系组的所有者，以确定是否仍需要该组。
查看组是否具有成员。 如果没有成员，请转到 cloud scream test。
搜索Exchange或Exchange Online日志，查看邮件是否已发送到组。 可以使用 Get-MessageTrackingLog 来搜索和分析日志。 如果发送邮件，则组可能仍在使用中。 请联系这些邮件的发件人以确定组的用途。
查看组成员是否包括未同步到Microsoft Entra的任何用户、联系人或组。 如果组包含未同步的成员，则其组类型不会更新为 Microsoft 365 组或 Exchange Online DL。 执行Kerberos 的尖叫测试和后续测试。 完成后：
如果仍需要该组，请在域环境中使用本地 Exchange 维护该组，或者将其替换为 Exchange Online 分发列表或 Microsoft 365 组。
如果不需要该组，请将其从域中删除。
如果组是 DL，则即使该组的成员位于 Microsoft Entra 中，也不能将组的源颁发机构 (SOA) 转换为 Microsoft Entra。 应执行云使用情况的 scream test 和后续测试。 完成后，选项为：
- 如果仍然需要该组，请将它替换为 Exchange Online DL 或 Microsoft 365 组。
- 如果不需要该组，请将其从 AD DS 域中移除，并且不要替换它。
请联系 Exchange 管理员，确定要选择哪个选项继续操作。
如果组是启用邮件的安全组（MESG），则无法转换该组的 SOA。 针对云使用情况执行冒烟测试以及后续测试。 完成后，选项为：
- 替换为Microsoft 365组。
- 创建单独的 DL 和安全组，并分别处理每一个。
- 将组类型更新为安全组或 DL，而不是 MESG。
- 从 AD DS 域中删除该组，并且不要替换它。
请联系你的 Exchange 管理员，以确定该组是否仍用于 Exchange。 如果仍需要Exchange组，请将其替换为Microsoft 365组，或创建单独的 DL 和安全组，并单独处理每个组。 否则，假定该组只需要是安全组，或者不再需要该组，然后继续按安全组进行分析。
针对安全组的分析
查看组成员。 如果该组没有成员，请继续进行云使用情况的征询反馈测试。 查看下表中有关其他成员对象类型的建议。
成员对象类型 建议 一台或多台计算机 组可能用于组策略或 System Center 管理。 请联系 Windows Server 和 System Center 管理员，确定他们对该组的计划。 可以将它替换为使用 Azure 或 Intune 的新方法。 一个或多个联系人 如果组是 MESG，则无法使用这些联系人登录 Microsoft Entra。 如果计划将组转换为未启用邮件，请将其从组中删除。 一个或多个用户或组未同步到Microsoft Entra（从同步范围中排除） 该组的授权来源不应被转换。 同步到Microsoft Entra的用户和组 计划对云使用情况进行压力测试。 查找组的更改日期。 如果该组最近被修改过，请检查日志以确定是谁修改了该组。 修改组的用户的安全标识符（SID）包含在 事件 5136 的主题字段中。 请联系他们以确定组的用途，以及是否可以将其更新到云安全组。
否则，如果该组最近未被修改，请使用 Get-Acl 检查组或其 OU 上的访问控制列表（ACL）是否委派该组的所有权。 如果 ACL 委托所有权，请联系所有者以确定组的用途。
否则，请检查另一个组是否包含此组作为成员，以及该组是否具有已标识的所有者。 如果是，请联系该组的所有者。
如果所有组成员都是同步到 Microsoft Entra 的用户和组，并且该组最近没有更改、没有明确的所有者，也不是另一个组的依赖项，则继续下一部分，执行云端使用情况验证测试。
否则，如果该组包含非 Microsoft Entra 帐户的用户或组成员，并且不是内置组，则继续对 Kerberos 应用执行 scream test。
对要分析的组启动这些 scream test 后，请继续处理该批次中的下一组。
云使用情况压力测试
此测试确定用于云资源的组中是否有用户，包括 Azure 订阅中的特权角色。
首先，检查 Microsoft Entra 中是否有对该组的引用：
- 从应用程序角色
- 从条件访问策略中
- 在另一个云组中
- 在特权标识管理中
- 在生命周期工作流中，访问审阅或权限管理
如果是这样，请与该资源或服务的管理员联系，以确定如何使用该组，以及是否可以将其替换为云安全组。
查看该组是否被 Azure 订阅、资源组或资源中的 Azure 角色引用。 如果是，请联系该Azure订阅的所有者。
与 Exchange、SharePoint、Intune、Azure 和其他服务的管理员交谈，以确定是否需要该组用于管理其服务。
与 Microsoft Online Services 中的其他应用程序的管理员交谈，以确定他们是否使用该组。
确定在 Microsoft Online Services 中没有明显使用该组后，可能还有其他未明显显示的服务。 若要检测是否存在其他服务，请转到下面的 scream test 步骤。
更改云同步或连接同步配置，以排除该组，不进行同步。
等待同步完成并确认组在Microsoft Entra中不再可见。
请等待几天，看看是否有用户反映该组不可用。 例如，查看是否有人向 IT 服务台提交了支持工单。
如果有投诉，请将该组从排除中移除。 确定依赖于该组的团队，并确定将来迁移团队以使用云托管组的计划。
如果没有关于该组在 Microsoft Entra 中不再可用的投诉，请转到下一部分，即对 Kerberos 应用执行“尖叫测试”。
Kerberos 应用的影响验证
此测试确定是否存在依赖于用户作为安全组成员的应用，其中 AD DS 向应用提供 Kerberos 票证，其中包含此组的组 ID 或包含此组的其他组的组 ID。
若要执行 Kerberos 冒烟测试，请执行以下步骤：
将组移动到 Kerberos scream test 中组所在的 OU。
将组类型更新为 DL，以便该组不再出现在 Kerberos 令牌中。 或者，删除成员。 例如，暂时将成员移动到另一个新的 DL 组。
请等待几天，以确定任何用户是否抱怨该组不可用。 例如，查看是否有人向 IT 服务台提交了支持工单。
如果有人提出异议，请将组类型更改回安全组或将成员添加回来。 然后确定依赖于该组的团队。
如果没有异议，请转到下一部分，针对 LDAP 应用的尖叫测试。
LDAP 应用的故障影响测试
此测试确定是否存在依赖于用户作为安全组成员的 LDAP 应用。
将组移动到 LDAP scream test 中的组 OU。
从组中删除成员。 例如，暂时将成员移动到另一个新组。
请等待几天，看看是否有用户反映该组不可用。 例如，查看是否有人向 IT 服务台提交了支持工单。
如果有投诉，请恢复该组的成员资格，并将其移回其原始 OU。 确定依赖于组的团队。
如果没有投诉，请删除该组。 已删除的组将转到Active Directory回收站。