Aufräumen der Active Directory

[jimmyone 15]

Hallo zusammen,

 

gibt es eine Möglichkeit, herauszufinden welche Computerobjekte sich seit einem bestimmten Datum nicht mehr angemeldet haben.

 

Hintergrund ist, das ich unsere ADS mal ein bisschen aufräume und deaktivierte Benutzer lösche etc.

 

Jetzt bin ich bei den Computerobjekten angelangt.

Leider wurden aber hier nicht immer alle Objekte entfernt oder deaktiviert.

 

Gibt es eine Möglichkeit, anhand eines Befehls herauszufinden, welche Computer sich seit Datum X nicht mehr angemdelt haben.

Diese könnte ich dann erst einmal deaktivieren und nach ca. 14 Tagen dann komplett löschen.

 

Danke...

[Daim 12]

Servus,

 

Gibt es eine Möglichkeit, anhand eines Befehls herauszufinden, welche Computer sich seit Datum X nicht mehr angemdelt haben.

 

da ab Windows 2000 jeder Client standardmäßig alle 30 Tage sein Computerkontokennwort ändert, kannst du genau an dieser Stelle ansetzen. Du erstellst z.B. eine Abfrage und ermittelst, welche Clients ihr Kennwort >größer 30 Tage nicht geändert haben.

 

Lies dir den unteren Teil des folgenden Artikels durch:

 

Yusufs Directory Blog - Computerkonto löschen

[jimmyone 15]

Ahh super Danke...

Komisch. Ich habe gestern noch über dsquery gesprochen...

[olc 18]

Hi,

 

da ab Windows 2000 jeder Client standardmäßig alle 30 Tage sein Computerkontokennwort ändert, kannst du genau an dieser Stelle ansetzen. Du erstellst z.B. eine Abfrage und ermittelst, welche Clients ihr Kennwort >größer 30 Tage nicht geändert haben.

 

Ergänzend vielleicht noch der Hinweis, daß man hier ggf. vorsichtig sein sollte, wenn es sich um Laptops handelt oder aber vielleicht um Rechner von länger nicht im Büro weilenden Mitarbeitern, die während der Abwesenheit nicht genutzt werden.

 

Da sich das Kennwort nicht automatisch nach (standardmäßig) 30 Tagen ändern, sondern erst wenn ein Client es selbständig ändert bzw. eine Änderung anfordert, kannst Du hier ggf. Accounts löschen, die im Grunde noch aktiv sind, auch wenn seit mehr als 30 Tagen keine Anmeldung erfolgte.

 

Daß Clients / DCs nach 30 Tagen ohne Domänenanmeldung der Clients automatisch das Kennwort ändern ist nicht korrekt. Ein Client kann theoretisch einen beliebig langen Zeitraum ohne Netzwerkzugriff sein und sich dann wieder an der Domäne anmelden. Problematisch wird es meist erst durch o.g. Script-Aktionen oder Backup / Image Prozesse (oder natürlich auch manuelle Eingriffe).

 

Viele Grüße

olc