Modified data van een user object in de AD

[nico_van_wijk]

Het is mij meerdere malen opgevallen dat de modified date van een userobject in de AD is gewijzigd in een datum van bijvoorbeeld een aantal dagen of weken terug. Ik was in de veronderstelling dat dit enkel gebeurd wanneer er wijzigingen zijn geweest aan dit object zoals wijzigen van password, toevoegen of verwijderen van groepen enz.

Nu weet ik 100% zeker dat er geen wijzigingen zijn geweest bij de betreffende users. Bij de groepen die wij hebben staan in dezelfde OU's zie ik recentelijk geen actuele modified dates, enkel bij de users. Recentelijk zijn er dus geen mutaties op de objecten in de AD gedaan. Enige wat er gebeurt is replicatie tussen meerdere DC"s.

Heeft iemand enig idee of er services zijn die wijzigingen zouden kunnen hebben aangebracht?

Op Google gezocht en zag nog ergens een topic met iemand die dezelfde ervaring had, echter geen verklaring.

[HKLM_]

Hebben die users niet gewoon hun password gewijzigt ?

[Vorkie]

En hebben jullie daar geen Exchange? SCCM?

En inderdaad, wachtwoord wijzigen vanuit de gebruiker is modified, volgens mij met een mail cliënt zelfs verbinden met Exchange een modify op de User.

[nico_van_wijk]

HKLM_ schreef op zaterdag 11 augustus 2018 @ 21:50:
Hebben die users niet gewoon hun password gewijzigt ?

Nee, die optie staat uit.

[HKLM_]

nico_van_wijk schreef op zaterdag 11 augustus 2018 @ 21:57:
[...]

Nee, die optie staat uit.

Hoe bedoel je, je hebt vanuit ad of via een gpo geblocket dat een user zelf hun password kan veranderen?

[nico_van_wijk]

Vorkie schreef op zaterdag 11 augustus 2018 @ 21:55:
En hebben jullie daar geen Exchange? SCCM?

En inderdaad, wachtwoord wijzigen vanuit de gebruiker is modified, volgens mij met een mail cliënt zelfs verbinden met Exchange een modify op de User.

Nee geen Exchange en SCCM...

[nico_van_wijk]

HKLM_ schreef op zaterdag 11 augustus 2018 @ 21:58:
[...]


Hoe bedoel je, je hebt vanuit ad of via een gpo geblocket dat een user zelf hun password kan veranderen?

Klopt, op het userobject in de AD staat ingesteld dat ze hem niet zelf mogen wijzigen.

[HKLM_]

Heb je auditlogging aanstaan dan zou je daar wel wat in terug moeten kunnen vinden.

[Cis]

Heeft de gebruiker geen foto gewijzigd?
Geen HRM systeem dat modificaties uitvoert op schema-extended velden?

[nico_van_wijk]

HKLM_ schreef op zaterdag 11 augustus 2018 @ 22:10:
Heb je auditlogging aanstaan dan zou je daar wel wat in terug moeten kunnen vinden.

Nee helaas, misschien maar eens aanzetten. Kun je daar dan mee loggen wat er aan het object wordt gewijzigd?

[HKLM_]

nico_van_wijk schreef op zaterdag 11 augustus 2018 @ 22:15:
[...]

Nee helaas, misschien maar eens aanzetten. Kun je daar dan mee loggen wat er aan het object wordt gewijzigd?

Als ik google mag geloven zou je er informatie uit moeten kunnen halen inderdaad

[nico_van_wijk]

Cis schreef op zaterdag 11 augustus 2018 @ 22:14:
Heeft de gebruiker geen foto gewijzigd?
Geen HRM systeem dat modificaties uitvoert op schema-extended velden?

Nee ook niet, alles is vrij statisch bij ons...

[nico_van_wijk]

HKLM_ schreef op zaterdag 11 augustus 2018 @ 22:17:
[...]


Als ik google mag geloven zou je er informatie uit moeten kunnen halen inderdaad

Heb auditing aangezet en wat testjes gedaan door een object te wijzigen. Wordt inderdaad netjes gelogd. Ik ga eens in de gaten houden of er wijzigingen gedaan worden aan de objecten.

[Slavy]

Gebruik AD Explorer, kan je de changes op een user terug zien.

[Brahiewahiewa]

Is het niet gewoon de "last logon time" die gewijzigd wordt? Dat veld wordt niet gerepliceerd by default dus dat zal schoksgewijs veranderen, afhankelijk van aan welke DC wordt aangelogged

[Dysmael]

Juist, LastLogonTime is ook waar ik aan zat te denken. Die wordt niet bij elke logon gewijzigd namelijk

[nico_van_wijk]

Brahiewahiewa schreef op zondag 12 augustus 2018 @ 14:25:
Is het niet gewoon de "last logon time" die gewijzigd wordt? Dat veld wordt niet gerepliceerd by default dus dat zal schoksgewijs veranderen, afhankelijk van aan welke DC wordt aangelogged

Nee is het zeker niet. Inloggen veroorzaakt geen wijziging van de datum. Hij wijzigt enkel als er iets aan het object wijzigt.

[Onbekend]

Er er een backup-domein-controller die het e.e.a. heeft gesynchroniseerd?
En er zijn verder geen policies aangepast die op een of andere manier een relatie met de betreffende gebruiker kunnen hebben?

[Will_M]

Onbekend schreef op zondag 12 augustus 2018 @ 22:59:
Er er een backup-domein-controller die het e.e.a. heeft gesynchroniseerd?
En er zijn verder geen policies aangepast die op een of andere manier een relatie met de betreffende gebruiker kunnen hebben?

Verklaar "Back-Up" Domain Controller? Als je in een AD iets NIET wil laten back-uppen dan is 't wel een Domain Controller ansich.

[Onbekend]

wimmel_1 schreef op zondag 12 augustus 2018 @ 23:03:
[...]


Verklaar "Back-Up" Domain Controller? Als je in een AD iets NIET wil laten back-uppen dan is 't wel een Domain Controller ansich.

Een betere naam is misschien een secondary domain controller. (Voor het geval dus dat de primaire tijdelijk niet beschikbaar is.)

[Will_M]

Onbekend schreef op zondag 12 augustus 2018 @ 23:16:
[...]

Een betere naam is misschien een secondary domain controller. (Voor het geval dus dat de primaire tijdelijk niet beschikbaar is.)

Je bedoelt een PCD Emulator?

Óók al zo'n ding wat sinds Windows Server 2000 al niet meer in gebruik is ....

[anboni]

wimmel_1 schreef op zondag 12 augustus 2018 @ 23:03:
[...]


Verklaar "Back-Up" Domain Controller? Als je in een AD iets NIET wil laten back-uppen dan is 't wel een Domain Controller ansich.

Hoewel de term strikt genomen niet meer correct is, is het overduidelijk dat hier gewoon een tweede domain controller bedoeld werd. Verder wil je ook een Domain Controller absoluut wel backuppen. Hooguit wil je heel zorgvuldig te werk gaan bij een eventuele restore van die DC...

[Will_M]

anboni schreef op zondag 12 augustus 2018 @ 23:37:
[...]


Hoewel de term strikt genomen niet meer correct is, is het overduidelijk dat hier gewoon een tweede domain controller bedoeld werd. Verder wil je ook een Domain Controller absoluut wel backuppen. Hooguit wil je heel zorgvuldig te werk gaan bij een eventuele restore van die DC...

Als je een DC afzonderlijk moet "back-uppen" dan zit er iets goed fout in het design van je AD .... PUNT!

[anboni]

wimmel_1 schreef op zondag 12 augustus 2018 @ 23:40:
[...]


Als je een DC afzonderlijk moet "back-uppen" dan zit er iets goed fout in het design van je AD .... PUNT!

Dan heb je zeker nog nooit van disaster recovery backups gehoord?

[Will_M]

anboni schreef op zondag 12 augustus 2018 @ 23:41:
[...]


Dan heb je zeker nog nooit van disaster recovery backups gehoord?

Jawel, en ik heb 't helaas ook al eens mogen uitvoere. JIJ ook?

[anboni]

wimmel_1 schreef op zondag 12 augustus 2018 @ 23:42:
[...]


Jawel, en ik heb 't helaas ook al eens mogen uitvoere. JIJ ook?

Ieder jaar. Maar je dwaalt af. Hoe is een DR backup geen AD backup ofwel een fout in je AD design?

[Will_M]

anboni schreef op zondag 12 augustus 2018 @ 23:45:
[...]


Ieder jaar. Maar je dwaalt af. Hoe is een DR backup geen AD backup ofwel een fout in je AD design?

Omdat je met een Full Restore van een AD (DC) altijd een stap terug in de tijd gaat maken tenzij er nog één DC in de lucht is en je daarop een authoritive restore kunt uitvoeren van de ontbrekende objecten waarbij je dan maar mag hopen dat dat de laatste versie is van die objecten en er inmiddels niets veranderd is...

Één = Geen... Twee = Niets, met drie wordt 't misschien "IETS".....

[ Voor 5% gewijzigd door Will_M op 13-08-2018 00:00 ]

[Brahiewahiewa]

wimmel_1 schreef op zondag 12 augustus 2018 @ 23:53:
[...]


Omdat je met een Full Restore van een AD (DC) altijd een stap terug in de tijd gaat maken tenzij er nog één DC in de lucht is en je daarop een authoritive restore kunt uitvoeren van de ontbrekende objecten waarbij je dan maar mag hopen dat dat de laatste versie is van die objecten en er inmiddels niets veranderd is...

Toch zijn er een hoop sysop's blij geworden van hun backup van een DC ;o)

[Question Mark]

wimmel_1 schreef op zondag 12 augustus 2018 @ 23:36:
[...]


Je bedoelt een PCD Emulator?

Óók al zo'n ding wat sinds Windows Server 2000 al niet meer in gebruik is ....

Een PDC is een term uit NT 4. Een PDC Emulator wordt nog steeds gebruikt in elke AD...

@TS; krijgt het USN (update sequence number) van een userobject ook een hogere versie nadat je ziet dat de last modified date aangepast wordt?

[Brahiewahiewa]

Hmmz, als je https://social.technet.mi...ized-time-attributes.aspx leest

Notice that createTimeStamp and modifyTimeStamp are both operational (sometimes called constructed). This means the values are not saved in AD, but are constructed by the domain controller when you request the values.

dan ga je wel een beetje aan die timeStamps twijfelen

Maar aangezien je zo goed als totale controle over je omgeving hebt, kun je gewoon een dump maken van het huidige object en die over twee weken vergelijken met het dan gemodificeerde object

[Bor]

wimmel_1 schreef op zondag 12 augustus 2018 @ 23:36:
[...]


Je bedoelt een PCD Emulator?

Óók al zo'n ding wat sinds Windows Server 2000 al niet meer in gebruik is ....

Niets is minder waar. De PDC Emulator FSMO rol is erg belangrijk binnen een AD domein, o.a. voor tijd synchronisatie. Password changes worden ook door de PDC emulator afgehandeld.

[Will_M]

@Bor en @Question Mark Ik bedoelde ook niet te zeggen dat je zónder zo'n ding moet blijven draaien. 't Is alleen niet erg als de machine welke die rol vervult fysiek wegvalt. Die rol kun je op iedere andere DC oppakken / seizen zónder dat je daar toestemming van nodig hebt van de machine welke die rol hád (of misschien nog wel heeft, zelfs).

[Bor]

wimmel_1 schreef op woensdag 22 augustus 2018 @ 16:41:
Die rol kun je op iedere andere DC oppakken / seizen zónder dat je daar toestemming van nodig hebt van de machine welke die rol hád (of misschien nog wel heeft, zelfs).

Ja, dat is een eigenschap van een seize natuurlijk. Dat doe je alleen wanneer de server die de rol uitvoerde niet meer bereikbaar is. Het is logisch dat je daar geen toestemming voor nodig hebt gezien je ipv een nette transfer simpelweg de rol claimed. Wel een beetje basiskennis dit hoor..