用户创build“事件”来运行脚本

你有几个问题：

1. 当用户创build时，我可能会想出一个在DC上触发的事件，但是如何保证用户只能在1个DC上创build？
2. 用户帐户是用户帐户，那么如何确定由此外部进程创build的帐户，以及由于其他原因（服务帐户等）而创build的帐户？

最好的办法是让脚本由外部系统启动。 在过去，而不是允许一些外部系统访问来创build用户我有外部系统启动一个脚本来创build用户和传递细节作为参数。

是。 这些是事件ID 4722,4738等。 在您的安全事件日志中。 事件文本将包含string“用户帐户已启用”。 或“用户帐户已更改”。 “用户帐户已创build”的事件是事件4720。

确实，如果用户是在不同的DC上创build的，则并非每个域控制器都会logging所有的用户创build事件。 如果这是您的担忧，请考虑更详尽的AD事件审计方法，详情如下：

http://technet.microsoft.com/en-us/library/cc731607(WS.10).aspx

之后，使用Powershell Cmdlet（如Get-Eventlog）来查找这些事件并根据它们进行操作将是一件简单的事情。