Active Directory: Avisar por mail a los usuarios de la caducidad de sus contraseñas

Desde Windows Vista, la advertencia de caducidad de contraseña es mucho menos agresiva que con XP.

Algunos usuarios que obvien esta viñeta recordatoria, o no suelan abrir sesion localmente (citrix, owa...) se encuentran con que la contraseña les ha expirado sin haberse dado cuenta.
Con este script powershell podemos avisar por mail de la caducidad de contraseñas con n dias de antelación a todos los usuarios.

Function Get-UAC($uac)
{
$flags=@()
if ((65536 -band $uac) -ne "0"){$flags+="DONT_EXPIRE_PASSWORD"}
return $flags
}
Function enviar-mail($mail,$body)
{
$subject="Aviso caducidad contraseña"
$smtpServer = "SRVEXCH.DOMINIO.LOCAL"
$emailFrom = "soporte@dominio.com"
$smtp = new-object Net.Mail.SmtpClient($smtpServer,587)
$mailAuthentication = new-object System.Net.NetworkCredential("mailcredentials", "password")
$smtp.UseDefaultCredentials = $False 
$smtp.Credentials =$mailAuthentication
$MailMessage = new-object Net.Mail.MailMessage($emailFrom, $mail, $subject, $body)
$MailMessage.IsBodyHtml = $true
$smtp.Send($MailMessage)
}
##### main #####
out-file "mailing_caducidad_contraseñas.csv" -input "usuario;ultimocambio;fechacaducidad;dias;avisado"
$SECS_IN_A_DAY=86400
$domain = [ADSI]"WinNT://$env:userdomain"
$intMaxPwdAge =($domain.maxpasswordage.value)/$SECS_IN_A_DAY
$ahora=get-date
#lista los datos de todos los usuarios del dominio
$searcher = New-Object DirectoryServices.DirectorySearcher([adsi]"")
$searcher.filter = "(&(objectclass=user)(objectcategory=person)(mail=*)(!userAccountControl:1.2.840.113556.1.4.803:=2))" 
$users = $searcher.findall() 

Foreach($user in $users) 
{
$TheUser=$user.GetDirectoryEntry()

$usuario=$theuser.samaccountname
$nombre=$theuser.givenname
$apellidos=$theuser.sn
$mail=$theuser.mail
$uac=$theUser.userAccountControl
$flags=Get-Uac("$uac")
 if ($flags -notcontains "DONT_EXPIRE_PASSWORD")
 {
 $PasswordLastChanged =$theuser.PasswordLastChanged
 $intTimeInterval = [int32]($ahora - $PasswordLastChanged).days
  If ($intTimeInterval -ge $intMaxPwdAge)
  {
  $strExpiringDays="CADUCADA"
  $avisar=0
  }
  else
  {
  $ExpiringDate = $PasswordLastChanged.addDays($intMaxPwdAge)
  $fechacaducidad=$Expiringdate.toString("dd/MM/yyyy")
  $ExpiringDays = [int32]($ExpiringDate - $ahora).days 
  $strExpiringDays= "$ExpiringDays dias"
#Avisar con 7 dias de antelacion
   if ($ExpiringDays -le 7)
   {
   $avisar=1
   $body= "$nombre $apellidos, usuario del sistema $usuario. Tu contraseña va a caducar dentro de " +  $ExpiringDays + " días (" + $fechacaducidad + "). 
Puedes cambiarla conectándote al correo OWA. 
Si no lo haces, tu cuenta se bloqueará y deberás abrir incidencia en 'soporte' para que la vuelvan a habilitar.

Soporte Sistemas"
   enviar-mail $mail $body
   }
   else
   {
   $avisar=0
   }#fin de if 7 dias
  }#fin de if caducada
 write-host "$usuario - $PasswordLastChanged - $strExpiringDays ($avisar)" -fore cyan
 out-file ".\mailing_caducidad_contraseñas.csv" -input "$usuario;$PasswordLastChanged;$fechacaducidad;$strExpiringDays;$avisar" -append
 
 }#fin de flags uac validos

}#fin foreach

El atributo userAccountControl es el encargado de almacenar las opciones de cuenta de usuario: ACCOUNTDISABLE, DONT_EXPIRE_PASSWORD, SMARTCARD_REQUIRED, PASSWD_NOTREQD... asignando valores decimales acumulativos a cada opción.
Para mas información sobre los diferentes valores de este atributo: http://support.microsoft.com/kb/305144/en-us