Active Directory LastLogonTimeStamp属性是关闭的

Question

我制作了一份报告，指出超过60天的陈旧帐户。在这个时间范围内，我认为可以使用一个DC的LastLogonTimeStamp值。即使有9-14天的准确性警告，它也可以达到目的。

问题是，有人确定了一个似乎不正确的帐户。此帐户的LastLogonTimeStamp包含2011年7月的日期。该用户自2010年以来一直没有加入该公司。

为解决这种差异，我查询了每个DC的LastLogon属性。所有这些都是从不，或者是在2010年。

我还查询了每个DC的LastLogonTimeStamp，它们都是相同的，报告了2011年7月的日期。 LastLogonTimeStamp适用于绝大多数用户，因此没有潜在的复制问题。

那么这个LastLogonTimeStamp来自何处，它怎么会出错呢？

有什么想法吗？

非常感谢， 桑德拉

Answer 1

请注意，LastLogon和LastLogonTimestamp属性不会使用相同的登录标准（即登录类型）进行更新。请参阅http://support.microsoft.com/default.aspx?scid=kb;EN-US;939899，其中具体说明了它们可能有所不同的原因。

Answer 2

来自The LastLogonTimeStamp Attribute – What it was designed for and how it works

  

lastLogontimeStamp属性的预期目的是提供帮助   识别不活动的计算机和用户帐户lastLogon属性   不旨在提供实时登录信息。默认情况下   设置到位后，lastLogontimeStamp将落后9-14天   当前日期。

Answer 3

LastLogonTimeStamp是可复制的属性，但每次用户成功登录时都不会更新此属性。仅当当前值早于当前时间减去msDS-LogonTimeSyncInterval属性的值时，才会更新此属性。