Como usar o SCOM 2007 R2 para ver o último logon do computador AD?

Question

Posso usar o SCOM 2007 R2 para ver o último logon de computadores do Active Directory? Eu tenho 4 controladores de domínio que precisam ser replicados.

Eu sei que posso usar outros programas como link , mas eu gostaria de usar o SCOM se possível.

    

Answer 1

Existem duas coisas que você pode estar procurando. Para obter uma resposta definitiva para uma conta de computador ou uma conta de usuário em qualquer Active Directory, é necessário pesquisar todos os controladores de domínio e escolher o valor mais recente relatado para LastLogon porque esse é um atributo do AD que nunca é replicado entre os DCs. É isso que o True Last Logon está fazendo.

Para contas de computador, você pode usar um atalho se a precisão absoluta não for necessária. se você estiver olhando para limpar contas de computador antigas e sem uso. Todos os computadores do AD ingressados alteram automaticamente a senha da sua conta de máquina a cada 30 dias (ou a cada 7 dias no Windows Vista \ W2K8 ou mais recente). Isto significa que o atributo PasswordLastChanged será modificado para uma máquina ativa em uma base regular - este atributo é replicado para todos os DC's para que uma única consulta possa ser usada para descobrir isso.

Para contas de usuário, isso não é verdade, portanto, você deve consultar todos os DC's de LastLogon. Se você tiver uma infraestrutura de AD mais recente no nível funcional do Windows 2003 ou do Windows 2008, há alguns atributos mais novos que podem fornecer alternativas que podem ser úteis.

Ao operar no nível funcional do Server 2008, os seguintes atributos de objeto estão disponíveis:

msDS-LastSuccessfulInteractiveLogonTime
msDS-LastFailedInteractiveLogonTime

Isso não está realmente ativado por padrão - para ativá-lo, é necessário ativar o seguinte para um GPO a que seus Controladores de Domínio pertençam.

Computer Configuration| Policies | Administrative Templates | Windows Components | Windows Logon Options | Display information about previous logons during user logon = Enabled

Há mais algumas informações em este artigo de Technet .

Ao operar no nível funcional do Server 2003 ou mais recente, o seguinte atributo de objeto está disponível:

LastLogontimeStamp

Infelizmente LastLogonTimeStamp só é replicado por padrão em um ciclo que varia aleatoriamente entre 9 e 19 dias (para eliminar o tráfego excessivo em grandes ambientes) e que não pode ser alterado para nada mais rápido do que 1 dia, tanto quanto é do meu conhecimento.

Em todos os outros anúncios, o único atributo relevante é o LastLogon acima mencionado. Infelizmente, isso nunca é replicado, portanto, se você quiser usá-lo, precisará pesquisar todos os DCs em seu domínio e, em seguida, escolher o tempo de logon mais recente dos valores retornados.