Last Logon mit Lumax auslesen -- wo klemmt's?

[Stibo 17]

Hallo zusammen,

 

ich habe eine kleine Frage zum Programm Lumax. Und zwar werden dort bei der Spalte "Last Logon" nur drei Fragezeichen angezeigt. Auf der Homepage des Programms steht dazu:

 

Last Logon

Dieses ist der Zeitpunkt der letzten Anmeldung in der Domäne. Dafür wird das LDAP Attribut "lastLogon" ausgewertet. Dieses Attribut wird nicht zwischen Domänencontrollern repliziert, Lumax liest deswegen alle Domänencontroller aus und ermittelt dann den jeweiligen echten letzten Anmeldezeitpunkt. Es kann jedoch sein, dass die Anmeldedaten nicht genau ermittelt werden können, z.B. wenn zur Zeit einer der Domänencontroller von LUMAX nicht erreicht werden kann. In diesem Fall wird für alle Accounts nur "???" angezeigt.

 

Da aber alle relevanten DCs definitiv online sind meine Frage: wie finde ich heraus, wo es hier klemmt? Ich vermute, dass Lumax hier noch einen alten DC abfragt, der allerdings runtergestuft wurde (der Server hält keine Rollen mehr), aber noch an ist. Kann ich hier irgendwie rausfinden, ob es daran liegt?

 

Danke im Voraus! :)

[fluehmann 10]

Hallo

 

Falls es noch einen DC hat der nicht wirklich sauber demotet wurde kannst du dies mit NTDSutil machen:

 

How to remove data in Active Directory after an unsuccessful domain controller demotion

 

Grüsse

fluehmann

[Stibo 17]

Ich habe das Vorgehen jetzt mal probiert, aber ab dem Schritt, bei dem man sich auf den zu säubernden DC verbinden muss. Dies wird mit folgender Fehlermeldung quittiert:

 

DsBindWithSpnExW error 0x6d9(There are no more endpoints available from the endpoint mapper.)

 

Mit Google und Bing habe hierzu leider nichts gefunden, was mich weiterbringt. Ich habe es sowohl auf dem betroffenen DC als auch auf einem anderen probiert, leider ohne Erfolg.

[P.Foeckeler 11]

Hallo Stibo,

 

wenn ich mal als Programmierer von Lumax was dazu sagen darf :)

 

Es ist tatsächlich so, das Lumax einen DC "sieht", den du nicht sauber demotet hast. Da das LastLogon eine Auswertung über alle DCs ist und nur dann Sinn macht wenn alle auch erreichbar sind, zeigt das Tool in diesem Fall lieber nichts an als unzuverlässige Anmeldedaten....

 

Beim Metadata-Cleanup mit NTDSUTIL verbindest du dich ürbigens nicht mit dem nicht mehr vorhandenen DC, sondern mit einem der normalen, noch aktiven!

 

Gruß,

Philipp

[Stibo 17]

Hallo Stibo,

 

wenn ich mal als Programmierer von Lumax was dazu sagen darf :)

 

Es ist tatsächlich so, das Lumax einen DC "sieht", den du nicht sauber demotet hast. Da das LastLogon eine Auswertung über alle DCs ist und nur dann Sinn macht wenn alle auch erreichbar sind, zeigt das Tool in diesem Fall lieber nichts an als unzuverlässige Anmeldedaten....

 

Beim Metadata-Cleanup mit NTDSUTIL verbindest du dich ürbigens nicht mit dem nicht mehr vorhandenen DC, sondern mit einem der normalen, noch aktiven!

 

Gruß,

Philipp

 

Klingt auch sehr schlüssig und vernünftig. ;)

 

Ah, gut zu wissen. :D Dann werde ich das morgen nochmal testen, vielen Dank!

[P.Foeckeler 11]

Bevor ich's vergesse...für die, die Lumax noch nicht kennen:

 

LUMAX - Active Directory User Maintenance

 

Ist das jetzt unerlaubte Werbung? Hoffentlich nicht, denn Lumax ist kostenlos :) :)

 

Gruß,

Philipp

[Stibo 17]

Tut mir Leid für die verspätete Antwort, aber ich wollte noch kurz Bescheid geben, dass es jetzt wieder funktioniert. NTDSUTIL wurde gar nicht gebraucht. Ich habe lediglich verwaiste DNS-Einträge gelöscht, die noch auf den heruntergestuften und ausgeschalteten DC verwiesen haben. Danach funktioniert die Anzeige mit Lumax einwandfrei. :)