2024年4月14日发(作者：)

AD LastLogon 和 LastLogonTimestamp

1. 介绍

在Active Directory（AD）中，“LastLogon”和”LastLogonTimestamp”是两个

与用户登录活动相关的属性。这些属性记录了用户最后一次登录到域中的时间戳。

尽管它们似乎相似，但实际上它们在记录用户登录信息时有一些重要的区别。

本文将深入探讨AD中的”LastLogon”和”LastLogonTimestamp”属性，包括它们

的定义、用途、差异以及如何使用它们来管理和监控用户登录活动。

2. LastLogon属性

2.1 定义

“LastLogon”是一个AD用户对象的属性，用于记录用户最后一次成功登录到域中

的时间戳。该时间戳以Coordinated Universal Time (UTC)格式存储，并且可以

通过LDAP（Lightweight Directory Access Protocol）查询来检索。

2.2 用途

“LastLogon”属性可用于以下方面：

•

•

•

登录活动跟踪：通过查看用户的最后一次登录时间，管理员可以了解用户是

否经常活跃，并检测潜在的安全问题。

账户管理：管理员可以使用”LastLogon”属性来确定哪些账户长时间未被

使用，并根据需要对其进行处理，例如禁用或删除。

安全审计：通过监控和分析”LastLogon”属性的变化，管理员可以检测到

异常登录活动，例如未经授权的访问尝试或账户被盗用。

2.3 属性更新机制

需要注意的是，“LastLogon”属性并不是实时更新的。它只在用户成功登录到域

时才会更新。这意味着如果用户长时间未登录，该属性可能已过期，并不能准确反

映用户的最后一次登录时间。因此，在某些情况下，使用”LastLogonTimestamp”

属性可能更为准确。

3. LastLogonTimestamp属性

3.1 定义

“LastLogonTimestamp”也是一个AD用户对象的属性，用于记录用户最后一次成

功登录到域中的时间戳。与”LastLogon”不同的是，该时间戳以Windows NT格式

存储，并且具有较长的精度（最小单位为十亿分之一秒）。

3.2 用途

与”LastLogon”类似，“LastLogonTimestamp”属性也可用于以下方面：

•

•

•

登录活动跟踪：管理员可以查看用户的最后一次成功登录时间戳来监控其活

跃程度。

账户管理：通过检查长时间未更新的 “LastLogonTimestamp”属性，管理

员可以识别潜在的废弃账户，并采取相应措施进行管理。

安全审计：通过分析”LastLogonTimestamp”属性的变化，管理员可以检测

到异常登录活动，并采取适当的安全措施。

3.3 属性更新机制

与”LastLogon”不同，“LastLogonTimestamp”属性通过一种称为“时间戳写入”

机制进行更新。它会定期（默认为14天）自动更新为用户的最后一次成功登录时

间戳。但是，由于时间戳写入操作可能会在域中的每个域控制器上执行，因此每个

域控制器上存储的 “LastLogonTimestamp”属性值可能略有不同。

4. 差异和选择

在使用 “LastLogon”和 “LastLogonTimestamp”时，需要考虑以下差异：

•

•

精度：由于 “LastLogonTimestamp”具有更高的精度，它可能更适合用于

需要更准确时间戳的应用场景。

更新频率：“LastLogon”在用户成功登录时即时更新，

而”LastLogonTimestamp “则通过时间戳写入机制定期更新。因此，在需

要实时信息的情况下，可以优先选择”LastLogon”。

数据存储：由于每个域控制器上存储的 “LastLogonTimestamp”值可能略

有不同，因此在查询用户最后一次登录时间时应考虑这一点。

•

根据具体需求选择合适的属性进行查询和监控。在大多数情况下，“LastLogon”

属性已经足够满足用户管理和安全审计的需求。

5. 查询和使用

可以使用LDAP查询语句来检索用户的 “LastLogon”和 “LastLogonTimestamp”

属性。以下是一个示例查询：

(&(objectCategory=person)(objectClass=user)(sAMAccountName=username))

可以通过修改查询以返回所需的属性值。例如，要检索用户的 “LastLogon”属性，

可以使用以下查询：

(&(objectCategory=person)(objectClass=user)(sAMAccountName=username))lastLogon

要检索用户的 “LastLogonTimestamp”属性，可以使用以下查询：

(&(objectCategory=person)(objectClass=user)(sAMAccountName=username))lastLogon

Timestamp

6. 总结

“LastLogon”和”LastLogonTimestamp”是用于记录AD用户最后一次成功登录时

间戳的属性。它们对于跟踪登录活动、账户管理和安全审计非常重要。

尽管两个属性在功能上有些重叠，但它们在精度、更新机制和存储方式方面存在差

异。因此，在选择适当的属性时需要考虑具体需求。

通过合理使用这些属性，管理员可以更好地管理和监控AD中的用户登录活动，并

提高系统安全性。