lastLogon so với lastLogonTimestamp trong Active Directory

Một nhân viên rời công ty. Tôi cố gắng tìm hiểu khi tài khoản AD của anh ấy được đăng nhập lần cuối - nếu đó là trước khi bị sa thải hoặc sau đó.

Có 2 thuộc tính này trong cửa sổ thuộc tính người dùng: lastLogon và lastLogonTimestamp . LastLogon ngày sớm hơn ngày sa thải, nhưng ngày LastLogonTimestamp là sau ngày sa thải (vì vậy trong trường hợp này chúng tôi sẽ gặp vấn đề về bảo mật).

Làm thế nào để biết, một trong những thuộc tính này hiển thị thời gian đăng nhập tài khoản AD thực tế cuối cùng? sự khác biệt giữa chúng là gì?

Sử dụng thuộc tính gần đây nhất.

Lastlogon chỉ được cập nhật trên bộ điều khiển miền thực hiện xác thực và không được sao chép.

LastLogontimestamp được sao chép, nhưng theo mặc định chỉ khi nó cũ hơn 14 ngày so với giá trị trước đó.

http://social.technet.microsoft.com/wiki/contents/articles/22461.under Hiểu-the-ad-account-attribut-lastlogon-lastlogontimestamp-and-lastlogondate.aspx

TL; DR - Nếu bạn muốn thời gian đăng nhập chính xác nhất, bạn phải truy vấn lastLogonthuộc tính từ tất cả các bộ điều khiển miền. Nếu dung sai ± 19 ngày là chấp nhận được, thì bạn chỉ cần đọc lastLogonTimestamptừ bộ điều khiển miền gần nhất.

LastLogon

Thuộc tính này không được sao chép và được duy trì riêng trên mỗi bộ điều khiển miền trong miền. Để có được giá trị chính xác cho lần đăng nhập cuối cùng của người dùng trong miền, thuộc tính Đăng nhập cuối cùng cho người dùng phải được truy xuất từ ​​mọi bộ điều khiển miền trong miền. Giá trị lớn nhất được truy xuất là thời gian đăng nhập cuối cùng thực sự cho người dùng đó.

https://docs.microsoft.com/en-us/windows/desktop/adschema/a-lastlogon#remarks

lastLogonTimestamp

Bất cứ khi nào người dùng đăng nhập, giá trị của thuộc tính này được đọc từ DC. Nếu giá trị cũ hơn [current_time - msDS-LogonTimeSyncInterval], giá trị được cập nhật. Bản cập nhật ban đầu sau khi tăng mức chức năng miền được tính là 14 ngày trừ phần trăm ngẫu nhiên trong 5 ngày.

https://docs.microsoft.com/en-us/windows/desktop/adschema/a-lastlogontimestamp

Ghi chú:

1. Cả hai ngày được lưu trữ dưới dạng FILETIME( Int64trong .Net / PowerShell) nếu bạn truy xuất chúng theo chương trình.
2. PowerShell cũng cung cấp một LastLogonDatetài sản. Tôi muốn ưu tiên cung cấp tài liệu cụ thể của Microsoft để xác nhận điều này, nhưng hầu hết các nguồn đều nói và thử nghiệm của tôi xác nhận rằng đó là giá trị được lastLogonTimestampchuyển đổi thành DateTimegiá trị l̲o̲c̲a̲l̲ .