Sous Windows, un nom de compte d'utilisateur serait différent du nom de profil utilisateur après sa modification à partir du Panneau de configuration.
Comment trouver le nom de profil utilisateur d'origine à partir d'un nom de compte utilisateur modifié?
Réponses:
Il y a deux propriétés "nom" pour chaque compte, alors permettez-moi de clarifier un peu les choses afin de ne pas nous embrouiller. L'un est le nom de compte SAM (Security Account Manager), qui apparaît dans la sortie de net user. Il s'agit du nom du compte en ce qui concerne les composants du système d'exploitation de bas niveau. L'autre est le nom d'affichage, qui apparaît dans la page Comptes d'utilisateurs du Panneau de configuration et dans le menu Démarrer. Le composant logiciel enfichable Utilisateurs et groupes locaux pour MMC ( lusrmgr.msc) affiche les deux: le nom SAM dans la colonne Nom et le nom d'affichage dans la colonne Nom complet. Le nom SAM est utilisé pour produire le dossier de profil.
Il n'est pas très facile de modifier le nom SAM sauf si vous utilisez ce composant logiciel enfichable MMC. Seules les modifications apportées au nom SAM produisent l'événement 4781. Je suppose, étant donné que vous ne voyez pas d'événement 4781 dans votre journal, que seul le nom d'affichage a été modifié. Cela ne produit que l'événement 4738 ("un compte d'utilisateur a été modifié"). L'événement 4738 répertorie uniquement la nouvelle valeur du nom d'affichage, pas l'ancienne valeur, et je soupçonne que l'historique des noms d'affichage n'est conservé nulle part (votre meilleur espoir serait de fouiller dans les journaux pour plus d'instances de 4738).
Heureusement, trouver le chemin du profil à partir d'un nom d'affichage n'est pas trop difficile. Ouvrez PowerShell et tapez cette commande:
gwmi win32_useraccount
Vous obtenez un tas d'entrées qui ressemblent à ceci:
AccountType : 512
Caption : <redacted>\tester
Domain : <redacted>
SID : S-1-5-21-<redacted>-1018
FullName : Test Account
Name : tester
Trouvez celui qui FullNameaffiche le nom d'affichage du compte. Ensuite, regardez la SIDvaleur (j'ai caviardé le SID de ma machine ici). Ouvrez le registre et accédez à la clé mentionnée par harrymc:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
Ouvrez la sous-clé portant le même nom que le SID que vous avez trouvé. La ProfileImagePathvaleur contient le chemin d'accès à leur dossier de profil.
Get-LocalUserapplet de commande n'existe pas dans la version Windows 7 de PowerShell. (J'ai testé sur Windows 10.) J'ai modifié ma réponse pour qu'elle fonctionne également sur Windows 7.
Regardez dans le journal des événements du système de sécurité Windows pour EventID 4781: le nom d'un compte a été modifié :
4781: le nom d'un compte a été modifié
L'utilisateur identifié par Subject: a modifié le nom de connexion normal ou le nom de connexion antérieur à Win2k de l'utilisateur identifié par le compte cible :. L'événement 4738 fournit en fait de meilleures informations sur ce changement.
Cet événement est enregistré à la fois pour les comptes SAM locaux et les comptes de domaine.
Vous verrez également l'événement ID 4738 vous informant des mêmes informations.
Matière:
L'utilisateur et la session de connexion qui ont effectué l'action.
- ID de sécurité: le SID du compte.
- Nom du compte: nom de connexion au compte.
- Domaine du compte: le domaine ou - dans le cas des comptes locaux - le nom de l'ordinateur.
- L'ID de connexion est un numéro semi-unique (unique entre les redémarrages) qui identifie la session de connexion. L'ID d'ouverture de session vous permet d'établir une corrélation en arrière avec l'événement d'ouverture de session (4624) ainsi qu'avec d'autres événements enregistrés au cours de la même session d'ouverture de session.
Compte cible:
- ID de sécurité: SID du compte
- Nom du compte: nom du compte
- Domaine du compte: domaine du compte
- Ancien nom de compte: ancien nom de connexion
- Nouveau nom de compte: nouveau nom de connexion
ID d'événement source 4781: le nom d'un compte a été modifié
Cette réponse est basée sur le fait que renommer le compte d'utilisateur ne change pas automatiquement le chemin du profil.
Si le compte a été renommé mais que le chemin du profil n'a pas été modifié, le chemin-nom peut être trouvé dans le registre sous
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
dans l'élément nommé ProfileImagePathdont la valeur sera
C:\Users\old-user-name.
Pour convertir le SID marqué en nom de compte d'utilisateur actuel, entrez dans cmd la commande:
cliquer pour agrandir l'imagewmic useraccount where sid='S-1-3-12-12451234567-1234567890-1234567-1434' get name
net userrépertorie pas également les anciens noms d'utilisateur? D'accord, s'il y a beaucoup de noms d'utilisateurs, c'est encore difficile à comprendre, mais sur un PC, ce n'est généralement pas le cas.
wmic useraccount where sid='S-1-3-12-12451234567-1234567890-1234567-1434' get name.
Get-LocalUser : The term 'Get-LocalUser' is not recognized as the name of a cmdlet....