如何在Active Directory用戶帳戶上檢測重命名或移動操作？

Question

我想知道，是否有辦法知道AD用戶帳戶已被重命名或移動到域中的其他位置？ 我知道有一種方法可以使用DirSync功能來跟蹤AD對象中發生的更改，但它不會檢測到重命名或移動操作。 DirSync從中顯示了重命名或移動對象的新DN，因此我們無法預測它是移動還是重命名操作。 是否有任何屬性可以告知重命名/移動用戶的舊DN ？ 或是否有單獨的LDAP控件（例如已刪除對象1.2.840.113556.1.4.417）可用於檢測重命名操作？

謝謝，

Answer 1

您需要為域啟用審核日志記錄，並將其配置為審核AD訪問事件：

http://support.microsoft.com/kb/814595

這些事件會很好地顯示在DC上的Security Eventl日志中，並且您需要確保分配了足夠的日志空間來保留事件，直到您想審核它為止，或者定期保存事件日志（或只是AD訪問事件）以供以后查看。

Answer 2

不幸的是，我認為除了審計之外，沒有其他直接的方法可以檢測移動並重命名。

dyrSync控件可能會有所幫助： http : //support.microsoft.com/kb/891995

但是，正如我所知，您需要跟蹤並檢查FDN或父級中的更改，以檢測移動和重命名。

-Jim