Win 2008 R2 Kennwortänderung im Logfile finden

[Sennox]

Guten Tag liebe Gemeinde,
mit der SuFu des Forums und einer halben Stunde Google/IxQuick habe ich leider keine Ergebnisse finden können.

Es geht um folgendes: (Windows Server 2008 R2 64-Bit, ich habe Adminrechte)

Ich muss herausfinden, ob das Kennwort eines bestimmen Users geändert wurde.
Wie das geänderte Kennwort lautet o.Ä. ist nicht nötig.

Lediglich OB und WANN eine Änderung stattfand ist wichtig und sollte sich doch eigentlich irgendwo finden.

Hintergrund:
Beim Kunden ist eine Funktionaltität abgestürzt weil, anscheinend, das Kennwort des zuständigen Userkontos geändert wurde.
Um dies zu beweisen müsste ich jetzt in den Ereignisanzeigen oder einem Logfile einen Eintrag finden, DASS eine Änderung des Userkennwortes stattfand.

Ich steh' wohl grad irgendwie vorm Berg,
weiß jemand wo ich diesen Logeintrag finden kann?

Feinsten Dank schon im Vorraus.
Grüße,
Sennox

 

[Spaxgeco]

Ich bin mir nicht sicher ob das mitgelogt wird, aber wenn dann würde ich sagen im EventLog unter Security.

 

[KaeTuuN]

Öffne eine CMD und tippe:

net user <user_id> /domain

Wobei <user_id> natürlich durch den User ersetzt wird.

Mfg Kae

 

[xuckz]

Edit: KaeTuuN's Lösung ist perfekt

 

[twi3ter]

Hallo,

Oder unterm Server Manager - Diagnose - Ereignisanzeige - Windows Protokolle - Sicherheit

Dann nach Aufgabenkategorie sortieren und die Einträge mit Benutzerkontenverwaltung raussuchen. ISt nicht so komfortabel aber du hast eine schöne übersicht über die Abläufe.
Wenn du den Eintrag gefunden hast lässt du dir am besten im unteren Fenster unter Details alles Anzeigen.

Gruß

 

[Spaxgeco]

Öffne eine CMD und tippe:


Code:
net user <user_id> /domain Wobei <user_id> natürlich durch den User ersetzt wird.

Mfg Kae

Man lernt nie aus .. Danke

 

[Sennox]

"KaeTuuN's Lösung ist perfekt "
Nur nahezu ,
ich habe das Kennwort ja eben leider selber geändert damit die ganze Sache wieder funktioniert.

Heißt: Der Parameter "Letztes Setzen des Kennworts" bringt mir leider nichts, ich müsste das vorletzte Setzen herausfinden.

Aber dennoch ein netter Tip für die Zukunft, danke an dieser Stelle.


Im Eventlog unter Security finde ich mit dem Timestamp aus der Shellausgabe aber dann passende Einträge.
Ist etwas ungücklich, dass im Reiter "Allgemein" als User nicht der betroffene sondern der ausführende User angezeigt wird.
Darum hatte ich die Einträge eben übersehen.

Feinsten Dank meine Besten

 

[KaeTuuN]

Hehe... Gerne!
Meine Lösung funktioniert allerdings nur, wenn es sich um eine Domäne handelt, da mit dem Befehl alle Werte des betreffenden Users aus dem AD ausgelesen werden.

Mfg Kae

 

[Sennox]

wenn man /domain weglässt greift das aber auch bei lokalen Usern, war hier nämlich der Fall

 

[KaeTuuN]

Richtig, wollte ich eigentlich auch noch schreiben, aber dann irgendwie spontan wieder vergessen...

Mfg Kae