Comment désactiver un compte utilisateur local dans Windows à l’aide de PowerShell

Les professionnels de l’informatique et les fournisseurs de services gérés (MSP) le savent : Il est parfois nécessaire de désactiver un compte utilisateur local sur une machine Windows pour des raisons de sécurité, de conformité ou d’autres raisons opérationnelles. Bien sûr, il existe des outils d’interface graphique (GUI) intégrés pour cela, mais lorsque vous gérez plusieurs systèmes, l’automatisation est essentielle. Aujourd’hui, nous allons nous pencher sur un script PowerShell conçu pour automatiser cette tâche, la rendre plus rapide, plus sûre et facilement répétable.

Le script vous permet de désactiver un compte utilisateur local sous Windows par l’intermédiaire de PowerShell. Ce script PowerShell s’adresse spécifiquement à ceux qui cherchent comment désactiver un utilisateur du système d’exploitation Windows via PowerShell ou à ceux qui se demandent comment désactiver un compte utilisateur local sur Windows. Alors, sans plus attendre, voici le script :

Le script

#Requires -Version 5.1

<#
.SYNOPSIS
    Disable a local account
.DESCRIPTION
    Disable a local account
.EXAMPLE
     -UserName "AdminTest"
    Disables the account AdminTest
.EXAMPLE
    PS C:> Disable-LocalAdminAccount.ps1 -UserName "Administrator"
    Disables the account AdminTest
.OUTPUTS
    None
    String[]
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
    (c) 2023 NinjaOne
    By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
    LocalBuiltInAccountManagement
#>

[CmdletBinding()]
param (
    # User name of a local account
    [Parameter(Mandatory = $true)]
    [String]
    $UserName
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    if ($(Get-Command -Name "Disable-LocalUser" -ErrorAction SilentlyContinue)) {
        # Disables $UserName using Disable-LocalUser
        try {
            Disable-LocalUser $UserName -Confirm:$false
        }
        catch {
            Write-Error $_
            exit 1
        }
    }
    else {
        # Disables $UserName using net.exe
        net.exe user $UserName /active:no
        if ($LASTEXITCODE -gt 0) {
            exit 1
        }
    }
}
end {}

 

Comprendre le script

Voici un bref résumé :

• Le script commence par vérifier s’il est exécuté avec des privilèges d’administrateur. Si ce n’est pas le cas, il s’arrête et envoie un message d’erreur.
• Il vérifie la présence de la commande intégrée Disable-LocalUser. Si elle existe, il l’utilise. Sinon, il recourt à la commande net.exe user pour désactiver le compte de l’utilisateur.

Le script impose que la variable $UserName soit remplie. Ce compte est le compte utilisateur local que vous avez l’intention de désactiver.

Prérequis

• Exigences du système d’exploitation: Le système d’exploitation minimum pris en charge est Windows 10 et Windows Server 2016.
• Version PowerShell: Nécessite au moins PowerShell 5.1.

Sauvegarde et restauration : Procédez avec prudence

Avant d’exécuter un script PowerShell qui modifie les paramètres du système, il est essentiel de sauvegarder les paramètres existants ou, mieux encore, l’ensemble du système. Vous pouvez ainsi revenir à l’état antérieur en cas de problème. Voici quelques méthodes de sauvegarde que vous pouvez utiliser :

Point de restauration du système

La création d’un point de restauration du système est un moyen simple et efficace de sauvegarder vos paramètres actuels. Voici comment :

• Ouvrez le menu Démarrer et recherchez “Créer un point de restauration”.
• Cliquez sur le résultat correspondant pour ouvrir la fenêtre “Propriétés système”.
• Allez dans l’onglet “Protection du système” et cliquez sur “Créer”.
• Nommez votre point de restauration et enregistrez-le.

Comment effectuer une sauvegarde complète du système

Pour une sauvegarde complète, vous pouvez créer une image système :

• Ouvrez le panneau de configuration.
• Naviguez vers “Système et sécurité” > “Sauvegarder et restaurer (Windows 7)”.
• Dans le volet de gauche, cliquez sur “Créer une image système”.
• Suivez l’assistant pour terminer la sauvegarde.

Remarque : Testez toujours le processus de restauration pour vous assurer que votre sauvegarde est correcte.

Gestion des erreurs : Que faire lorsque les choses tournent mal ?

Le script PowerShell comprend une gestion des erreurs de base, mais comme pour tout script, des erreurs peuvent se produire. Vous trouverez ci-dessous quelques erreurs courantes et des conseils de dépannage :

“Accès refusé. Veuillez l’exécuter avec les privilèges administrateur.”

Cette erreur se produira si vous essayez d’exécuter le script sans privilèges. Veillez à cliquer avec le bouton droit de la souris sur la fenêtre PowerShell et à choisir “Exécuter en tant qu’administrateur”.

Le compte d’utilisateur n’existe pas

Si vous saisissez un nom d’utilisateur qui n’existe pas, le script génère une erreur. Vérifiez à nouveau le nom d’utilisateur et réessayez.

Le script ne s’exécute pas

Si votre script ne s’exécute pas, vérifiez les paramètres de votre stratégie d’exécution PowerShell. Il se peut que vous deviez modifier la stratégie pour permettre l’exécution du script. Utilisez la commande suivante pour le modifier :

Set-ExecutionPolicy RemoteSigned

N’oubliez pas de le remettre à sa valeur initiale après l’exécution de votre script.

Traitement des erreurs de type “catch all”

Si vous souhaitez étendre le script pour enregistrer les erreurs dans un fichier texte à des fins d’audit, vous pouvez modifier le bloc Catch du script comme suit :

catch { Write-Error $_ “Erreur : $_” | Out-File “C:pathtoerrorlog.txt” -Append exit 1 }

Remarque : Remplacez “C:pathtoerrorlog.txt” par le chemin d’accès au fichier journal de votre choix.

En incorporant ces méthodes de sauvegarde et de traitement des erreurs, vous ajoutez une couche supplémentaire de sécurité et de fiabilité lors de l’exécution du script.

En quoi cela est-il utile ?

Pour les professionnels de l’informatique :

• Sécurité: Si vous gérez l’infrastructure informatique d’une entreprise, il est essentiel de savoir comment désactiver un compte utilisateur local sur Windows. Les comptes non autorisés ou redondants présentent des risques pour la sécurité.
• Conformité: La conformité réglementaire nécessite souvent la désactivation de certains comptes. L’automatisation de ce processus garantit qu’aucune étape n’est omise.
• Automatisation et évolutivité: Le script peut être inclus dans une séquence d’automatisation plus large, ce qui facilite la désactivation des comptes sur de nombreuses machines simultanément.

Pour les MSP :

• Multi-tenant: Les MSP peuvent facilement intégrer ce script dans leurs systèmes de gestion centralisée. Cela simplifie la gestion de plusieurs clients à partir d’un seul tableau de bord.
• Efficacité opérationnelle: La capacité d’automatisation de ce script PowerShell réduit la charge opérationnelle.
• Accords de niveau de service (SLA) et satisfaction client: L’automatisation garantit des temps de réponse plus rapides et le respect des accords de niveau de service (SLA), ce qui se traduit directement par la satisfaction du client.

Conclusions

Lorsqu’il s’agit de gérer les comptes utilisateur locaux, le script Disable-LocalAdminAccount.ps1 est un outil précieux que vous devez avoir dans votre arsenal. Exploitez la puissance de l’automatisation et améliorez vos mesures de sécurité en intégrant ce script dans vos flux de travail. Après tout, dans le monde informatique actuel, qui évolue rapidement, l’automatisation n’est pas seulement un luxe, c’est une nécessité.