我在 Active Directory 中使用用户的 LastLogonTimeStamp 属性来获取上次登录日期时间，值不一致，
还有其他人遇到过同样的问题吗？
我们可以信任 LastLogonTimeStamp 吗？
更新： 它只是一个域控制器
【问题讨论】：
标签： active-directory
http://www.microsoft.com/technet/scriptcenter/topics/win2003/lastlogon.mspx
如果您有很多域控制器并且不需要最准确的结果，您只会使用 lastLogonTimeStamp。对于单个域控制器，请使用 lastLogon 属性。
【讨论】：
设计上的 LastLogonTimeStamp 仅在用户登录并且当前值介于 9 到 14 天之间时才会更新。他们这样做是为了减少 AD 中的复制流量。
这个blog posting说得好：
需要注意的是 的预期目的 lastLogontimeStamp 属性帮助 识别非活动计算机和用户 帐户。 lastLogon 属性是 并非旨在提供实时 登录信息。默认情况下 设置到位 lastLogontimeStamp 将是 9-14 天 晚于当前日期。
如果您想要用户真正的上次登录信息，您必须从域中的每个域控制器中提取 lastLogon 属性并使用最新的值。
【讨论】：
您的网络是否包含多个 DC（域控制器）？它们可能不同步，因为 LastLogonTimeStamp 将在用户实际登录的 DC 上更新，同步可能需要一些时间。
马克
【讨论】：
如果您计划拥有多个 DC，那么 LastLogonTimeStamp 可能不是一种可靠的方法来确定诸如帐户是否已“过时”之类的事情，因为该属性不会复制到许多其他 DC（大多数？ ) 场景，具体取决于您的域功能级别。
确定这一点的更好方法是查看“密码年龄”（通过 PasswordLastChanged 属性）。例如，如果有人在密码过期后一两周（或其他时间跨度，具体取决于您的特定环境）没有重置密码，那么您很有可能在那里有一个孤立的帐户。
【讨论】：
您无法直接通过 lastlogon 或 lastlogontimestamp 获取用户的 True LastLogon 时间。您需要做一些自定义工作来获取最新的登录时间。
由 上次登录
您需要从所有域控制器查询 lastlogon 值并比较所有值，然后获得最高登录时间作为 True Last Logon
按 LastLogonTimeStamp
由于它是您只能从一个 DC 查询的可复制属性，但它不会给出准确的结果，它的精度约为 14 天，具体取决于属性 msDS-LogonTimeSyncInterval。
【讨论】：
如果您想要用户真正的上次登录信息，您必须从域中的每个域控制器中提取 lastLogon 属性并使用最新的值。
很遗憾，这并不完全准确。我使用了 lastlogon 属性，虽然它对于我测试过的大多数用户帐户来说都相当接近，但我遇到了许多返回 1600 年的日期，而那些接近的显示有时我肯定知道指定的用户甚至无法登录，例如，当我知道我在上午 8:15 登录时，我自己的 LastLogon 在上午 7:50 显示。
许多管理员有时似乎希望使用这些信息来验证是否符合公司政策。不幸的是，微软似乎在设计上出于系统功能目的而忽视了这种意图。
【讨论】：