如何在Office365中禁用AD账户但保留用户邮箱？

我来帮你理清这个问题，其实你提到的第二种方案是更稳妥的选择，完全不会有丢失用户邮箱的风险，咱们一步步来拆解正确的操作流程：

正确操作步骤 #

• 第一步：处理AD端的用户账户
  你有两个选择，选其中一个就行：

  • 直接在AD中禁用该用户账户；
  • 把该用户移动到未被AD Connect同步的OU里（要确保这个OU确实在AD Connect的同步排除列表中，避免后续同步影响）。

• 第二步：等待AD与365同步完成
  默认同步周期大概30分钟，如果你想加快进度，可以在AD Connect服务器上运行PowerShell命令手动触发增量同步：

  Start-ADSyncSyncCycle -PolicyType Delta
  

• 第三步：在365管理门户中解绑并恢复账户
  同步完成后，登录365 admin portal找到该用户：

  1. 重新启用这个被同步禁用的用户账户；
  2. 删除用户的ImmutableID——这个ID是AD和365账户绑定的核心标识，删除后该365邮箱账户就会彻底脱离AD的同步控制，后续AD的任何更改都不会再影响到它。

为什么不推荐你的第一种思路？ #

你提到的先删除AD中proxyAddress属性再禁用账户的方法风险很高：

• 删除proxyAddress可能会破坏365邮箱与AD账户的关联关系，导致邮箱无法正常访问；
• 即使删除了该属性，禁用AD账户后同步到365依然会禁用云账户，后续还要重新启用，反而多了不必要的步骤，还可能引发邮箱状态异常。

额外注意事项 #

• 操作前建议给用户邮箱开启诉讼保留（Litigation Hold），或者导出一份邮箱备份，确保数据万无一失；
• 解绑后的邮箱变成纯云账户，后续用户的邮箱密码修改、权限调整等操作都需要直接在365 admin portal中进行，AD端的设置不会再同步过来；
• 如果选择移动到未同步OU，一定要提前确认AD Connect的同步配置，避免误同步。

备注：内容来源于stack exchange，提问作者justdoingmyjob