Título praticamente diz tudo. Estou tentando descobrir como e quando um usuário específico foi desativado.
Responder1
Se você tiver a auditoria habilitada para atividades de gerenciamento de contas antecipadamente. Mais sobre como fazer isso aqui:http://technet.microsoft.com/en-us/library/cc731607(v=ws.10).aspx
Responder2
Presumo que você esteja usando o Windows server2008 com Active Directory.
Você pode descobrir quem desabilitou um usuário verificando o Visualizador de Eventos no Controlador de Domínio (painel de controle > ferramentas administrativas > visualizador de eventos) e examinando o Log de Eventos de Segurança. Verifique se há eventos com origem "Auditoria de segurança do Microsoft Windows" e ID "5136". Nos detalhes do evento, você poderá encontrar o DN do usuário que foi desabilitado junto com a data e hora da operação.