Consulter l’activité des comptes sur les terminaux

L’activité des comptes aide à vérifier les connexions, déconnexions, verrouillages et déverrouillages des terminaux gérés. Elle diffère des résultats d’authentification : une liste vide ne prouve pas l’absence d’événement.

Préparer et rechercher

1. Vérifiez le droit de consultation de la gestion des terminaux, ainsi que l’inscription et la visibilité du terminal pilote. L’export exige aussi le droit correspondant. Aucune stratégie distincte d’activité des comptes n’est requise pour cette tâche ; la création des événements dépend néanmoins du fonctionnement du client sur un terminal pris en charge, de la collecte et de la remontée.
2. Dans la gestion des terminaux, ouvrez Audit > Account Activity. La période initiale couvre le jour même et les 29 jours précédents ; elle peut être modifiée. La liste indique groupe, terminal, compte, IP, action et heure. Le compte peut comporter un préfixe de domaine.
3. Recherchez un groupe, terminal, compte, IP, action ou horaire dans la page chargée. Le filtre et le tri ne portent que sur cette page. Sans résultat, effacez le mot-clé et consultez les autres pages ; le total peut différer du nombre de lignes filtrées.
4. Sur un terminal Windows pilote autorisé, effectuez une connexion, déconnexion, un verrouillage ou déverrouillage contrôlé. Après remontée, recherchez la date et comparez l’heure à celle de l’action. Vérifiez séparément la collecte sur les autres plateformes.

Périmètre de recherche et d’export

Si un compte apparaît sous la forme EXAMPLE\alice, recherchez séparément le nom alice ou le domaine EXAMPLE. Ne supposez pas que la combinaison complète retrouvera la ligne. Modifier le mot-clé ou la date ramène à la première page ; changez de nouveau de page pour consulter les autres résultats. Le tri manuel du tableau ne détermine pas l’ordre des lignes exportées ; vérifiez le fichier si un ordre précis est nécessaire.

Si un enregistrement ne contient pas de nom d’utilisateur, la colonne du compte affiche - et la colonne exportée utilise le même affichage. Cela ne prouve pas l’absence de compte ou de domaine. Même avec -, un domaine présent peut correspondre au mot-clé sur la page courante. Vérifiez le compte réel sur le terminal et la remontée des enregistrements.

Si la page signale un échec de chargement des journaux, la liste et le total peuvent être vidés. Une liste vide ne signifie alors pas qu’une recherche réussie n’a trouvé aucun enregistrement. Vérifiez les droits du compte et l’état du service, relancez la recherche et contrôlez la date et la page.

Export et dépannage

Export crée un CSV limité à la page chargée après filtrage, et non à toutes les données de la période. Vérifiez page et filtre avant l’export, puis le fichier, et protégez-le selon les règles de l’organisation.

Si un événement manque, vérifiez date, page, mot-clé, visibilité du terminal, fonctionnement du client et remontée, puis comparez avec l’action réelle. Un échec de collecte ou d’identification, un client arrêté ou un retard de remontée peut modifier le résultat. Ces données ne constituent pas un audit exhaustif de présence ou d’authentification.