El título lo dice todo. Estoy tratando de averiguar cómo y cuándo se deshabilitó a un usuario en particular.
Respuesta1
Si tiene habilitada la auditoría para las actividades de administración de cuentas con anticipación. Más sobre cómo hacerlo aquí:http://technet.microsoft.com/en-us/library/cc731607(v=ws.10).aspx
Respuesta2
Supongo que está utilizando Windows Server2008 con Active Directory.
Puede encontrar quién deshabilitó a un usuario consultando el Visor de eventos en el Controlador de dominio (panel de control > herramientas administrativas > visor de eventos) y consultando el Registro de eventos de seguridad. Busque eventos con la fuente "auditoría de seguridad de Microsoft Windows" y el ID "5136". En los detalles del evento, podrá encontrar el DN del usuario que ha sido deshabilitado junto con la fecha y hora de la operación.