Active Directory whenChanged 属性

Question

我试图找出 Novell C# LDAP 库的增量更改，并发现活动目录在每个对象中都有一个属性“whenChanged”，该属性在对象上次更改时提供时间戳。我的问题是，当我从组或组织中删除用户时，它似乎没有改变。

有没有办法在组和 OU 的基础上查看这些更改（添加的用户、删除的用户、添加的组、删除的组）？

Answer 1

whenChanged当对象上的任何其他属性发生变化时，该属性也会发生变化。但值得注意的是：

1. 如果从组中删除用户，则更改的是组，而不是用户。所以用户的whenChanged属性不会被更新。
2. 该whenChanged属性不会在域控制器之间复制，因此域控制器之间的值将不匹配。不过，大多数时候他们会非常接近。

例如，假设您从组中删除用户。这意味着member组的属性已更改并且whenChanged属性因此而更新。这些更新发生在一台域控制器上。由于member是复制属性，因此新member值将复制到域控制器，并且whenChanged这些 DC 上的属性将更新为复制发生时的时间whenChanged，这与实际进行更改的 DC 上的值不匹配。

如果您在修改成员身份后没有看到whenChanged组上的属性发生更改，则可能是您从与更改所在的 DC 不同的 DC 获取值，并且您没有等待足够长的时间来进行复制。