确定用户是否实际上已在域中注销- Windows Active Directory

Question

我正在编写一个windows服务，该服务监视域(windows 2012)内的帐户登录和注销事件。登录事件id为4624，下线事件id为4634。但是，我看到这两个事件是成对的，即事件4624紧随其后的事件id 4634。应该用什么方法来确定用户是否真的从域中的机器注销了?注意:只对交互式登录会话感兴趣(不包括网络、服务或其他)

Answer 1

您可能想要查看事件4647，它在用户注销时被记录下来。如果您只对交互式会话感兴趣，那么您还应该限制自己在4624事件中使用相关的登录类型(2、7、10、11)。