Bonjour,
Pour ce qui concerne le déplacement d'un utilisateur, il faut déjà vérifier les GPO qui s'appliquent aux contrôleurs de domaine. L'audit des évènements 'Directory Access' doit être activé.
Ensuite, le déplacement d'un utilisateur génère un évènement 5139 (https://www.ultimatewindowssecurity.com/securitylog/encyclopedia/event.aspx?eventid=5139) dans le journal de sécurité. Cet évènement contient l'ancien et le nouveau 'DistinguishedName' de
l'utilisateur.
Cet évènement est enregistré dans le journal 'Security' du contrôleur de domaine qui a validé l'opération. Il faut donc interroger tous les contrôleurs de domaines.
Par exemple :
get-eventlog -LogName security -InstanceId 5139 -ComputerName (get-addomain | select -expand ReplicaDirectoryServers)
Cordialement,
Yann Gainche MVP Cloud and Datacenter Management http://www.gainche.net
