使用 Get-WinEvent 检索用户名

Question

我正在尝试从事件查看器日志数据中检索用户名列表。我看到唯一可用的选择器是 UserID。我想将其转换为我在“常规”>“用户”下看到的内容，而不是 SID。我是 PowerShell 初学者，所以我提前道歉。

这是我现在正在使用的脚本。效果很好，但我想在列中添加用户名。

#Server list
$VDI = Get-Content "C:\Scripts\IM\AvayaList.csv"
 
#Query remote machines
Invoke-Command $VDI {
 
    $Filter = @{
           Logname = 'Citrix-VDA-CQI/Admin'
           Level = 1,2,3
           StartTime = [datetime]::Today.AddDays(-1)
    }
    Get-WinEvent -FilterHashtable $Filter
 
} | Select-Object MachineName,TimeCreated,Level,ID,Message | Out-GridView -Title "Results"

我在另一个 post 上看到了这个，但我很难将我所拥有的与我发现的相结合。

  Get-WinEvent -MaxEvents 1000 | foreach {
    $sid = $_.userid;
    if($sid -eq $null) { return; }
    $objSID = New-Object System.Security.Principal.SecurityIdentifier($sid);
    $objUser = $objSID.Translate([System.Security.Principal.NTAccount]);
    Write-Host $objUser.Value;
}

我正在使用 PowerShell v5.1.14393.3866

谢谢！

Answer 1

您可以编写一个小辅助函数来解析 SID。此外，就像您为过滤器哈希表使用变量一样，您可以使用变量来存储所需的属性以使代码更易于阅读。

Function Resolve-SID ($sid)
{
    if($sid)
    {
        $objSID = New-Object System.Security.Principal.SecurityIdentifier($sid)
        $objSID.Translate([System.Security.Principal.NTAccount]).value
    }
    else
    {
        'N/A'
    }
}

$selectprops = "MachineName",
               "TimeCreated",
               "Level",
               "ID",
               "Message",
               @{n="User";e={Resolve-SID $_.UserID}}

#Server list
$VDI = Get-Content "C:\Scripts\IM\AvayaList.csv"

#Query remote machines
Invoke-Command $VDI {

    $Filter = @{
           Logname = 'Citrix-VDA-CQI/Admin'
           Level = 1,2,3
           StartTime = [datetime]::Today.AddDays(-1)
    }
    Get-WinEvent -FilterHashtable $Filter

} | Select-Object $selectprops | Out-GridView -Title "Results"

使用 Get-WinEvent 检索用户名

Retrieve User name with Get-WinEvent

powershell

powershell-5.0