PrincipalContext.ValidateCredentials在域控制器上的记录机制咨询

我使用System.DirectoryServices.AccountManagement命名空间中的PrincipalContext.ValidateCredentials方法验证Active Directory用户凭据，代码示例如下：

private bool CheckIfCredentialsAreValidInDomain(string pLogin, string pPassword)
{
    bool areCredentialsValidInDomain = true;
    using (PrincipalContext context = new PrincipalContext(ContextType.Domain))
    {
        areCredentialsValidInDomain = context.ValidateCredentials(login, password);                
    }            
    return areCredentialsValidInDomain;
}

客户环境为单域且包含6台以上域控制器（DC），代码未指定DC名称，依赖DC定位服务选择可用DC。此前运行正常，但出现特殊情况：某用户未直接登录域，但电脑接入客户网络，每日通过该应用调用上述验证方法且返回结果为true，然而该验证操作未被DC记录，导致其账号因连续X个月未登录域被禁用。

现咨询以下问题：

1. PrincipalContext.ValidateCredentials的工作机制是怎样的？
2. 它是否会更新用户的LastLogon和lastLogonTimestamp属性，还是仅返回凭据是否有效？
3. 该操作是否会在域控制器的事件日志中生成条目？

1. PrincipalContext.ValidateCredentials的工作机制 #

该方法本质是通过LDAP（或Kerberos，取决于上下文配置）向域控制器发起凭据验证请求：

• 未指定DC时，会通过Windows的DC定位服务（DS Locator）自动选择当前站点内的可用域控制器；
• 验证过程仅检查用户名和密码的正确性，不会触发完整的域登录流程，属于轻量级的凭据校验操作。

2. 是否更新LastLogon和lastLogonTimestamp属性 #

不会更新这两个属性：

• LastLogon仅在用户实际登录域（如交互式登录、RDP登录等）时才会被对应DC更新；
• lastLogonTimestamp是用于判断账号是否过期的属性，同样只有在用户完成正式域登录操作时才会被同步更新；
• ValidateCredentials只是校验凭据有效性，不属于"登录"操作，因此不会触发这两个属性的变更。

3. 是否在域控制器事件日志生成条目 #

默认情况下不会生成登录相关的事件日志：

• 该操作属于LDAP绑定验证，仅会在DC的安全日志中生成"LDAP绑定成功"类的事件（事件ID通常为4624的特定子类，或其他LDAP相关事件），但这类事件不会被识别为用户登录行为；
• 正式的域登录事件（如交互式登录）会生成明确的登录事件记录，而ValidateCredentials的验证操作不会触发这类登录事件。

内容的提问来源于stack exchange，提问作者Tomasz Niewiadomski