Мониторинг на login/logout в AD, Active Directory Domain Controller

Благодаря. Значи все пак си остава текущата ми схема с pooling, едва ли ще има разлика ако ползвам WMI или ако директно, чета от event log-a(както правя в момента).

Отделно остава проблема как да разбера, че даден юзър вече не е логнат в системата. Това се хваща лесно ако се отпише по нормалния начин, но да речем, ако нета му е спрял или компа му е забил? Има ли начин да хвана, това че вече не е активен?

Ако през определено време проверяваш event log-овете, не може ли просто да отчетеш, ако не можеш вече да четеш от лога? Защото тогава вариантите са, че юзъра просто е изчезнал по един или друг начин от мрежата. Я интернет, я нещо друго.

Всъщност, за какво е всичко това? Търсим решение ама не знаем какъв е проблемът.

@relax4o Как така не мога да чета от Event log-a? Event log-а е на сървъра, които е Domain Controller-а, ако самия сървър не умре винаги ще мога да си чета от event log-a.

@dvader Причината са шибани клиентски изисквания. Трябва да извършвам разни операции, когато бъде отчетено вписване или отписване от домейн контролера, като нямам право да инсталирам никакъв софтуер на клиентските машини, мога само на сървъра...

Домейн контролера не позволяваше ли конфигурирането на скрипт, който да се пуска при влизане в системата?
Потърси папка NETLOGON на сървъра.
Прочее, какво толкова трябва да се прави при излизане на усера?

Това мнение е било редактирано от dvader на 08-02-2018, 12:07

Това със скрипта го има и го коментирахме на първата страница, но проблема там е че тоя скрипт трябва да се вижда в network share-а и трябва да е writable за всички, което си доста стабилен security risk.

Относно въпроса ти: Трябва да се викне rest заявка към едно API на клиента.

На кои EventID-та те интересува? 10 реда скрипт е, щи го спиша да пробваш колко се мотка при натоварване.

cheers,
</wqw>

Не можеш ли да следиш за Winlogon и Kernel-Power евенти. Winlogon съдържа информация за login и logout(7001 и 7002 event ids). А Kernel-Power съдържа за заспиване и събуждане (42 и 107).
Това са в System.

В Security следиш за events 4634 за logoff и 4624 за logon.

Не съм сигурен за Windows Server как е точно и по какъв начин записва евентите, но давам ориентировъчно.

Това мнение е било редактирано от relax4o на 08-02-2018, 16:58

@wqw Аз съм си го написал кода за следенето на следенето на ивенти от event log-а, не ми е това проблема.

@relax4o Въпросните Winlogon i Kernel-Power event-и мога да ги следя конкретно за дадената машина локално, не и remote - примерно клиент се вписва от случаен компютър през AD.

Има logon и logoff събития в security лога, които мога да следя. Проблемите са, че logoff event не се получава, когато юзъра не успее да се отпише нормално(спиране на нета, запиване на компа му и т.н.).

Най-лесно би било, ако мога винаги да вадя от някъде списък с логнатите юзъри в AD.

Можеш ли да следиш за Administrative Events на remote машина? Ако да, пробвай да четеш за e1dexpress(поне при мен така се казва ивента, когато изгубя или възстановя интернет връзка.

Също виж за Event Forwarding, + още един линк. Може да ти помогне за събирането на ивенти от клиентски машини.
И още един линк, който може и да е полезен.

Също разгледай за информация в Applications and Services Logs->Microsoft->Windows -> нещо свързано с remote...

Това мнение е било редактирано от relax4o на 09-02-2018, 03:56