востаннє користувач AD увійшов?

26

Я помітив, що в Active Directory у нас більше користувачів, ніж у фактичних працівників.

Чи є простий спосіб перевірити кілька облікових записів Active Directory і перевірити, чи є облікові записи, які не використовувались деякий час? Це повинно допомогти мені визначити, чи потрібно деякі облікові записи вимкнути чи видалити.

active-directory

— Джіндріх
джерело

Якщо ви використовуєте AD Snapin в MMC, і ви зможете переглянути об’єкт користувача, то ви отримаєте вкладку "редактор атрибутів", в якій ви зможете побачити атрибут для "lastLogin".

— bgmCoder

22

Кулінарна книга Active Directory O'Reiley дає пояснення у розділі 6:

6.28.1 Проблема: Ви хочете визначити, які користувачі не входили останнім часом.

6.28.2 Розв’язання

6.28.2.1 Використання графічного інтерфейсу користувача

Відкрийте оснащення Active Directory користувачів та комп’ютерів.
На лівій панелі клацніть правою кнопкою миші домен і виберіть Знайти.
Поруч із знаходженням виберіть Загальні запити.
Виберіть кількість днів поруч із днями з моменту останнього входу.
Натисніть кнопку Знайти зараз.

6.28.2.2 Використання інтерфейсу командного рядка

dsquery user -inactive <NumWeeks>

Для отримання додаткової інформації дивіться рецепт 6.28

— Олексій Шатигін
джерело

1

+1 Я уникав прополки AD, тому що не знав, як. Спасибі.

— cop1152

Не розраховуйте, що застарілі облікові записи завжди є неактивними. Часто "тестові" акаунти створюються для використання в одиничних тестах або як вторинні рахунки для дійсних користувачів. Ці облікові записи можуть не бути неактивними, але їх слід видалити, оскільки вони надають неавторизований доступ до систем.

— Кріс Нава

1

Це працює лише в тому випадку, якщо до речі ліс / домен 2003 року або вище. До 2003 року DC мав власний запис про останній логін для кожного користувача. Dumpsec (згаданий нижче) є доволі goood для отримання останнього справжнього входу, спамуючи кожен контролер домену, і складає список тих, хто входив під час кожного DC.

— март

@marty Сподіваємось, не так вже й багато встановлень до 2003 року, оскільки Server 2003 закінчився.

— Джоел Коель

6

Цей сценарій походить від http://synjunkie.blogspot.com/2008/08/powershell-finding-unused-ad-accounts.html ; ця URL більше не працює з 7 грудня 2015 року. Ви можете вивести цю інформацію у файл CSV, який ви можете переглянути / відфільтрувати в Excel.

get-qaduser * -sizelimit 0 | select -property name,accountexpires,pass*,accountisdisabled,lastlog*,canonicalname | export-csv -path d:\Passwords.csv

— JohnW
джерело

Припустимо, що ви не хочете #Type blah blah blahна початку свого файлу CSV, використовуйте -notypeпараметр onexport-csv

— northben

URL-адреса порушена. :(

— Signal15

URL-адреса порушена, але ви все одно можете отримати доступ до її архіву: Powershell - Пошук невикористаних облікових записів AD

— PeteWiFi

3

Варто зазначити, що останній час входу, що зберігається на кожному контролері домену, не реплікується між контролерами домену, насправді є два атрибути, які зберігають останній час входу, один реплікується, але лише кожні 14 (я думаю). Якщо для вас важливий точний час, я використовував би інструмент третьої частини, який запитує кожен контролер домену (у нас 90!), Ми використовували інструмент під назвою True Last Logon , я можу його рекомендувати.

— Скотт Йохансен
джерело

0

Я використовую DumpSec, безкоштовне засіб від Somarsoft цього: DumpSec КОРИСНІ знайти застарілі облікові записи комп'ютерів :)

0

Проходячи цей процес, документуйте його, виконуючи як кроки, які ви запускаєте, так і облікові записи, які ви відключаєте / видаляєте. У якийсь момент аудитор запитає, як ви видалите старі облікові записи, і вам знадобиться документація.

— BillN
джерело

0

Дуже швидкий і брудний метод / пропозиція:

Встановіть термін дії кожного підозрюваного пароля облікового запису та потребуйте скидання при наступному вході. Розмістіть зірочку в полі опису кожного облікового запису. Зачекайте тиждень або близько того, перевірте свої облікові записи, щоб побачити, які з них ще потрібно скинути. Відключіть порушників, зачекайте дзвінків служб довідки, ввімкніть знову тих, хто був у відпустці.

Інший:

Ви також можете надіслати список підозрюваних користувачів до відділу кадрів / персоналу та побачити, чи хтось із них перевірить, чи справді вони все ще працюють.

Ще один:

Нарешті, я вважаю, що якщо відкрити "Користувачі та комп’ютери Active Directory" та розгорнути інструмент "Запит AD", ви зможете створити запит, який детально визначає, що ви шукаєте.

— Грег Міхан
джерело