C# Active Directory认证后lastLogon属性未更新问题

问题原因 #

使用LdapConnection.Bind()结合Basic LDAP认证时，默认不会触发Active Directory的lastLogon属性更新。这是因为lastLogon仅在用户通过交互式登录（如Windows登录、RDP）或使用Kerberos/NTLM协议访问域资源时才会被更新，Basic LDAP绑定不属于这类触发场景。

另外需要注意：lastLogon是域控制器（DC）本地属性，每个DC只会记录用户在该DC上的登录时间，不会同步到其他DC。如果要获取用户最新的登录时间，需要查询所有DC并取最大值，但你的问题核心是绑定后未触发任何DC的lastLogon更新，所以优先解决触发条件。

解决方案 #

1. 改用Negotiate认证（推荐） #

将认证类型改为AuthType.Negotiate，它会自动选择Kerberos或NTLM协议，这两种协议都会触发lastLogon属性更新。修改后的代码如下：

using (LdapConnection connection = new LdapConnection(domain))
{
    connection.AuthType = AuthType.Negotiate; // 替换Basic为Negotiate
    connection.Credential = new NetworkCredential(username, password);

    try
    {
        connection.Bind();
        return "Authentication succeeded.";
    }
    catch (LdapException ex)
    {
        return "Authentication failed: " + ex.Message;
    }
}

2. 若必须使用Basic认证 #

如果因为环境限制必须用Basic认证，可以在绑定成功后，执行一个会触发登录记录的LDAP操作，比如读取用户的tokenGroups属性（需要相应权限）：

using (LdapConnection connection = new LdapConnection(domain))
{
    connection.AuthType = AuthType.Basic;
    connection.Credential = new NetworkCredential(username, password);

    try
    {
        connection.Bind();
        
        // 触发更新lastLogon的操作：读取用户的tokenGroups属性
        var searchRequest = new SearchRequest(
            $"CN={username},OU=Users,DC=yourdomain,DC=com", // 替换为实际用户DN
            "(objectClass=user)",
            SearchScope.Base,
            "tokenGroups"
        );
        var response = (SearchResponse)connection.SendRequest(searchRequest);
        
        return "Authentication succeeded.";
    }
    catch (LdapException ex)
    {
        return "Authentication failed: " + ex.Message;
    }
}

3. 考虑使用lastLogonTimestamp属性 #

如果不需要实时的登录时间，lastLogonTimestamp属性是域内同步的（默认每9-14天同步一次），可以直接查询该属性获取用户最近的登录时间记录，无需遍历所有DC。

内容的提问来源于stack exchange，提问作者Wissam