Атрибут LastLogonTimeStamp Active Directory отключен

Question

Я подготовил отчет, в котором указаны устаревшие учетные записи старше 60 дней.Для этого периода времени я решил, что можно использовать значение LastLogonTimeStamp от одного DC.Даже с оговоркой точности 9-14 дней, она служит цели.

Проблема в том, что кто-то определил одну учетную запись, которая не казалась правильной.LastLogonTimeStamp для этой учетной записи содержал дату в июле 2011 года. Пользователь не был в компании с 2010 года.

Чтобы устранить несоответствие, я запросил каждый DC для атрибута LastLogon.ВСЕ они либо Никогда, либо в 2010 году.

Я также запросил каждый DC для LastLogonTimeStamp, и все они идентичны, сообщая дату июля 2011 года.LastLogonTimeStamp подходит для подавляющего большинства пользователей, поэтому не существует основной проблемы с репликацией.

Так откуда же взялся этот LastLogonTimeStamp и как он может быть таким неправильным?Есть идеи?

Большое спасибо, Сандра

Answer 1

Обратите внимание, что атрибуты LastLogon и LastLogonTimestamp не обновляются с использованием одних и тех же критериев входа (т. Е. Типов входа).См. http://support.microsoft.com/default.aspx?scid=kb;EN-US;939899, в котором конкретно объясняется, почему они могут отличаться.

Answer 2

LastLogonTimeStamp является реплицируемым атрибутом, но этот атрибут не обновляется при каждом успешном входе пользователя в систему. Этот атрибут обновляется только в том случае, если его текущее значение старше текущего времени минус значение атрибута msDS-LogonTimeSyncInterval.

Answer 3

С Атрибут LastLogonTimeStamp - для чего он был разработан и как он работает

Предполагаемое назначение атрибута lastLogontimeStamp, чтобы помочь выявить неактивные учетные записи компьютеров и пользователей. Атрибут lastLogon не предназначен для предоставления информации о входе в систему в реальном времени. По умолчанию Настройки на месте lastLogontimeStamp будут на 9-14 дней позади текущая дата.