lastLogonTimeStamp im Vergleich zu lastLogon

lastLogon

Dieses Attribut wird nur auf dem Domänencontroller aktualisiert gegen den sich der Benutzer authentifiziert hat. Das Attribut wird nicht mit anderen DCs repliziert oder im GC gespeichert. Bei Computern wird der Wert nur aktualisiert, wenn sich ein Computer gegen die Domäne authentifiziert, z.B. nach einem Bootvorgang oder bei nach der Aktualisierung des Zugriffstokens.

lastLogonTimeStamp

Dieses Attribut wird zwischen allen Domänencontrollern in der Gesamtstruktur repliziert aber nicht im GC gespeichert. Verantwortlich für die Synchronisierung dieser Angabe ist der Wert msDS-LogonTimeSyncInterval.

Die standardmäßige Replikation beginnt erst nach 14 Tagen, wobei ein Zufallswert von minus 0-5 Tagen den tatsächlichen Zeitpunkt der Replikation bestimmt. Daraus ergibt sich ein Replikationsfenster zwischen 9-14 Tagen.

Dieses Konstrukt soll die Netzwerkbandbreite vor unzähligen und unnötigen Replikationen schützen (optimieren).

Hat sich ein Benutzer egal auf welche Weise noch nie an die Domäne angemeldet, so bleibt der Wert des Attributes = NULL (nie/never).

Hat sicher der Benutzer das erste Mal angemeldet, so wird der Wert des Attributes lastLogon sofort an lastLogonTimeStamp übergeben und an alle anderen DCs repliziert. Eine darauffolgende Anmeldung aktualisiert dann nur noch das Attribut lastLogon. Das ist auf dem rechten Bild sehr gut zu erkennen.

Ab jetzt bleibt der Wert des Attributes lastLogonTimeStamp nach dem obigen Prinzip stehen und wird nach spätestens 14 Tagen wieder repliziert.

lastLogonTimeStamp vs lastLogon

https://www.der-windows-papst.de/2020/09/03/authentifizierung-autorisierung/