последний раз пользователь ad вошел в систему?

<p>я заметил, что у нас в active directory больше пользователей, чем у сотрудников компании.<br> <br> есть ли простой способ проверить несколько учетных записей active directory и посмотреть, есть ли учетные записи, которые не использовались в течение некоторого времени? это должно помочь мне определить, следует ли отключить или удалить некоторые учетные записи.</p>

<p>поваренная книга о'рейли active directory дает объяснение в главе 6:</p><p>6.28.1 проблема: вы хотите определить, какие пользователи не вошли в систему недавно.</p><p>6.28.2 решение</p><p>6.28.2.1 использование графического интерфейса пользователя</p><ol> <li>откройте оснастку "active directory - пользователи и компьютеры".</li> <li>на левой панели щелкните правой кнопкой мыши домен и выберите "найти".</li> <li>рядом с find, выберите common queries.</li> <li>выберите количество дней рядом с днями с момента последнего входа в систему.</li> <li>нажмите кнопку "найти сейчас".</li> </ol><p>6.28.2.2 использование интерфейса командной строки</p><blockquote> <p>dsquery user -inactive <numweeks></p> </blockquote><p>для получения дополнительной информации см. рецепт 6.28.</p>

<p>этот скрипт возник из <a href="http://synjunkie.blogspot.com/2008/08/powershell-finding-unused-ad-accounts.html">http://synjunkie.blogspot.com/2008/08/powershell-finding-unused-ad-accounts.html</a> ; этот url больше не работает с 7 декабря 2015 г. вы можете вывести эту информацию в файл csv, который вы можете просмотреть/отфильтровать в excel.</p><pre><code>get-qaduser * -sizelimit 0 | select -property name,accountexpires,pass*,accountisdisabled,lastlog*,canonicalname | export-csv -path d:\passwords.csv </code></pre>

<p>стоит отметить, что время последнего входа в систему, сохраненное на каждом контроллере домена, не реплицируется между контроллерами домена, на самом деле есть два атрибута, которые хранят время последнего входа в систему, один реплицируется, но только каждые 14 (я думаю). если для вас важно точное время, я бы использовал инструмент третьей части, который запрашивает каждый контроллер домена (у нас 90!), мы использовали инструмент под названием <a href="https://dovestones.com/active-directory-last-logon-tool/">true last logon</a> , я могу его порекомендовать.</p>

<p>для этого я использую dumpsec, бесплатный инструмент от somarsoft: <a href="http://www.systemtools.com/free.htm">dumpsec</a> полезно для поиска устаревших учетных записей компьютеров :)</p>

<p>по мере прохождения этого процесса документируйте его как с выполняемыми вами шагами, так и с учетными записями, которые вы отключаете/удаляете. в какой-то момент аудитор спросит вас, как удалить старые учетные записи, и вам понадобится документация.</p>

<p>очень быстрый и грязный метод/предложение:</p><p>установите срок действия пароля каждой подозреваемой учетной записи и потребуется сброс при следующем входе в систему. поместите звездочку в поле описания каждой учетной записи. подождите неделю или около того, перепроверьте свои помеченные учетные записи, чтобы увидеть, какие из них все еще требуют сброса пароля. отключите нарушителей, дождитесь звонков в службу поддержки, включите тех, кто был в отпуске.</p><p>другой:</p><p>кроме того, вы также можете отправить список подозреваемых пользователей в свой отдел кадров/кадров и посмотреть, если какой-либо из них подтвердит, что они на самом деле, все еще работают.</p><p>еще:</p><p>наконец, я считаю, что если вы откроете "active directory - пользователи и компьютеры" и развернете инструмент запросов ad, вы сможете создать запрос, в котором будет подробно указано, что вы ищете.</p>