PowerShell脚本查询LastLogon与LastLogonTimestamp结果不一致排查

1. 核心属性差异：LastLogon vs LastLogonTimestamp #

这两个AD用户属性的本质区别是导致时间不一致的根本原因：

• LastLogon：属于非复制属性，仅在用户实际登录的那台域控制器（DC）上更新，该值不会同步到域内其他DC。如果你的脚本没有遍历到用户最后一次登录的目标DC，就只能拿到某台旧DC上的过期时间。
• LastLogonTimestamp：属于可复制属性，默认会在用户登录后，当当前时间与上次同步时间差超过14天（可通过组策略调整阈值）时，同步到域内所有DC。它是一个近似的最新登录时间，虽非实时，但能在所有DC上获取到一致的较新值。

2. 脚本执行异常的直接原因 #

你的Get-LastLogon脚本在遍历DC查询LastLogon时，遗漏了用户最后一次登录的那台DC，导致返回的是某台旧DC上的2020年3月17日登录时间；而repadmin查询到的LastLogonTimestamp，是用户2020年5月12日登录后，已同步到所有DC的近似时间。

举个实际场景：用户USR1在2020-03-17登录了DC01，你的脚本遍历了DC01、DC02，但用户在2020-05-12登录了未被脚本覆盖的DC03，因此脚本只能拿到DC01的旧时间，而LastLogonTimestamp已经同步了DC03的登录记录。

3. 验证步骤 #

• 逐个查询域内所有DC上USR1的LastLogon属性，找到时间与LastLogonTimestamp匹配的DC：

  Get-ADUser -Identity USR1 -Properties LastLogon -Server [目标DC名称] | Select-Object Name, @{n='LastLogon';e={[DateTime]::FromFileTime($_.LastLogon)}}
  

• 检查Get-LastLogon脚本的DC列表生成逻辑：确认是否用Get-ADDomainController -Filter *获取完整DC列表，而非手动指定或仅查询部分站点内DC，避免因网络问题、脚本逻辑遗漏导致未覆盖全部DC。

4. 修复方案 #

• 确保脚本遍历所有域控制器：替换脚本中DC列表的生成逻辑为Get-ADDomainController -Filter *，保证不会遗漏任何一台DC。
• 根据需求选择属性：若需要精准的实时登录时间，必须依赖LastLogon且遍历所有DC；若接受近似值，可直接使用LastLogonTimestamp，无需遍历DC。

内容的提问来源于stack exchange，提问作者Arbelac