Comment vérifier la date de dernière connexion d’un utilisateur pour éviter de perdre du temps avec des comptes inactifs ?

Vous venez de lancer un script pour supprimer tous les comptes n’ayant pas été utilisés depuis 90 jours, et soudain, le service RH vous appelle en panique : vous avez désactivé le compte du directeur financier qui s’est connecté hier. Si cela vous est arrivé, c’est que vous avez confondu les attributs de connexion dans votre Active Directory. Pour répondre concrètement à votre question : pour obtenir une date précise et immédiate, vous devez interroger l’attribut lastLogon sur chaque contrôleur de domaine, car l’attribut lastLogonTimestamp peut être erroné de plusieurs semaines à cause de la réplication.

À lire aussi : Guide de l’entretien de profil.

À lire aussi : Comment identifier les faux profils ‘catfishing’ qui utilisent des photos de mannequins sur les sites coquins ?.

Gérer des comptes inactifs, ce n’est pas juste du ménage. En 2026, avec la multiplication des attaques par mouvement latéral, laisser traîner des comptes “fantômes” est une faille de sécurité majeure. Mais vouloir aller trop vite en utilisant les mauvais outils, c’est le meilleur moyen de créer un incident de production.

Pourquoi la simple vérification de la date de connexion est un piège technique ?

Le problème n’est pas de savoir si l’utilisateur s’est connecté, mais où l’information est stockée. Dans un environnement avec plusieurs contrôleurs de domaine (DC), l’information de connexion n’est pas instantanément partagée partout. C’est là que la confusion s’installe.

Imaginez deux scénarios. Le premier, c’est que vous utilisez un outil de rapport standard qui ne regarde que l’attribut de réplication. Le second, c’est que vous interrogez directement la source. La différence de précision peut faire passer un utilisateur actif pour un compte abandonné.

L’erreur fatale : ne regarder que le lastLogonTimestamp

L’attribut lastLogonTimestamp est conçu pour être efficace. Pour ne pas surcharger le réseau avec des mises à jour constantes, Windows ne met à jour cet attribut que de manière périodique. En pratique, il peut y avoir un décalage de 14 jours (ou plus selon la configuration) entre la réalité et ce que l’attribut affiche. Si votre politique de sécurité est de couper les comptes après 30 jours d’inactivité, vous jouez avec le feu en vous basant uniquement sur cette donnée.

Comment obtenir la date réelle via PowerShell sans perdre de temps ?

Pour ne pas faire d’erreur, la méthode la plus robuste consiste à interroger tous vos contrôleurs de domaine et à comparer les valeurs de lastLogon. C’est un peu plus lourd en termes de calcul, mais c’est la seule façon d’être certain de la situation. Si vous utilisez un script PowerShell mal conçu, vous risquez de ne voir que la date de connexion sur le DC qui répond à votre requête, et non la date la plus récente de l’ensemble de votre infrastructure.

Franchement, si vous avez un parc de 50 serveurs, ne faites pas ça à la main. Un script qui boucle sur Get-ADDomainController est indispensable. Voici la logique à suivre :

• Récupérer la liste de tous les contrôleurs de domaine actifs.
• Pour chaque utilisateur, interroger chaque DC pour extraire le lastLogon.
• Comparer les dates obtenues pour ne garder que la plus récente (la “Max Date”).
• Exporter le résultat dans un CSV pour analyse.

À mon sens, l’erreur classique est de vouloir automatiser la suppression directement. Mon conseil : automatisez l’identification, mais gardez une étape de validation humaine ou un délai de grâce (par exemple, déplacer les comptes dans une Unité d’Organisation “En attente de suppression” pendant 15 jours).

Méthode pratique : Le scénario d’un audit de sécurité réussi

Prenons un cas concret. Une entreprise de services numériques (ESN) souhaite réduire sa surface d’attaque. Elle constate que 15% de ses comptes utilisateurs n’ont pas été utilisés depuis 6 mois.

Si l’administrateur utilise un outil de reporting tiers qui ne lit que les attributs répliqués, il pourrait rater des connexions récentes effectuées sur des sites distants. En utilisant une approche par script PowerShell ciblant le lastLogon sur chaque nœud, il découvre que certains consultants externes se connectent via des VPN spécifiques qui pointent vers des contrôleurs de domaine isolés. Résultat : pas de suppression accidentelle, et une sécurité renforcée sans interruption de service.

Pour approfondir les bonnes pratiques de gestion des identités, vous pouvez consulter les recommandations de l’ Secrétariat général pour l’administration et la cybersécurité qui souligne l’importance de la revue régulière des droits et des accès.

Quels outils utiliser pour automatiser cette surveillance ?

Il existe trois grandes familles de solutions pour éviter de passer vos journées à debugger des scripts :

1. Les scripts PowerShell personnalisés : C’est gratuit et flexible, mais cela demande une maintenance constante. Si votre topologie réseau change, votre script peut devenir obsolète.
2. Les outils d’audit natifs : Certains logiciels de gestion de parc permettent de générer des rapports de conformité. C’est souvent plus simple, mais attention à la source de la donnée.
3. Les solutions de gestion des identités et des accès (IAM) : C’est l’option haut de gamme. Ces outils ne se contentent pas de lire une date, ils analysent le comportement de l’utilisateur.

Si vous travaillez dans un environnement critique, je vous recommande de ne pas vous contenter de la lecture de l’attribut de connexion. Un compte peut être “actif” (dernière connexion il y a 2 jours) mais être utilisé de manière malveillante. La corrélation avec les logs de connexion (Event ID 4624 dans Windows) est la seule vraie méthode de vérification de l’activité. Vous pouvez trouver des détails techniques sur les journaux d’événements via la documentation officielle de Microsoft Learn.

Les erreurs de configuration qui faussent vos rapports

Parfois, le problème ne vient pas de votre méthode, mais de la configuration même de votre Active Directory. Voici ce qui peut fausser vos résultats :

Le décalage de réplication : Si vos sites sont géographiquement distants et que la réplication est lente, l’attribut lastLogonTimestamp sera particulièrement peu fiable. Ne l’utilisez jamais pour des décisions de suppression immédiate sur des sites distants.

Les comptes de service : C’est le piège numéro un. Un compte de service (utilisé par une application ou un backup) peut ne pas “se connecter” de la même manière qu’un humain. Il n’y a pas d’ouverture de session interactive. Si vous supprimez un compte de service parce qu’il semble “inactif”, vous risquez de casser une application critique de votre infrastructure.

L’utilisation de comptes partagés : Si plusieurs personnes utilisent le même compte, la date de dernière connexion ne vous dira rien sur l’identité réelle de l’utilisateur. C’est une faille de traçabilité que vous devez corriger avant même de penser à l’audit de l’inactivité.

Tableau récapitulatif des pièges à éviter

En résumé, vérifier la date de dernière connexion est un exercice de précision chirurgicale. Ne vous contentez pas de la première réponse que vous donne votre console d’administration. Prenez le temps de comprendre la provenance de l’information, et surtout, prévoyez toujours une marge de sécurité pour éviter de transformer une tâche de maintenance en crise majeure.

Questions frequentes

Quelle est la différence entre lastLogon et lastLogonTimestamp ?

lastLogon est une valeur précise et locale à chaque contrôleur de domaine, tandis que lastLogonTimestamp est une valeur répliquée qui peut avoir jusqu’à 14 jours de retard. Pour un audit précis, il faut toujours privilégier le premier.

Comment éviter de supprimer un compte de service par erreur ?

Identifiez vos comptes de service par une convention de nommage stricte et placez-les dans une Unité d’Organisation (OU) spécifique qui est exclue de vos scripts de nettoyage automatique.

Est-il possible de voir l’heure exacte de connexion via l’interface graphique ?

L’interface standard de l’Active Directory Users and Computers ne montre pas l’heure précise de manière fiable. Il est préférable d’utiliser PowerShell ou un outil d’audit dédié pour obtenir une donnée exploitable.

Peut-on automatiser la désactivation des comptes inactifs ?

Oui, mais ne faites jamais de suppression directe. Automatisez le déplacement vers une zone de quarantaine et attendez une période de rétention avant la suppression définitive.

→ Tous nos guides et comparatifs