使用 PowerShell，我可以找到用户帐户的创建时间吗？

Question

这是一个简单的问题。 我知道信息在某处。 我已经用 Powershell 锤炼了 3 天并接近了。 老实说，我没时间了。

这是情况。 人员进入并在本地计算机（Windows 7）上创建一个帐户。 我如何找到创建帐户的时间。 我理解在配置文件中查找 NTUSER.DATE 日期，但这并不完全有效。 我得到的信息全部分布在 csv 中，并且没有简单的方法让它可读。

Get-Item  -force "C:\Users\*\ntuser.dat" |
 Where {((Get-Date)-$_.lastwritetime).days } | 
 Out-File c:\profiles.csv

可以看到安全日志中的信息，可以拉取所有4720个事件。 然而，这也是不一致的，特别是如果几个月前一些无赖（像我一样）清除了事件日志。

Get-EventLog -LogName Security | Where-Object { $_.EventID -eq 4720 } |
 EXPORT-CSV C:\NewStaff.csv

但这也不能真正让我得到我需要的东西。 我只需要用户名和创建帐户的日期。 我知道这不是那么简单（虽然它应该是 LOL）。 这是一份一次性的工作，我对 Powershell 很着迷（尽管过去几天我学到了很多东西）。

无论如何，如果有人不介意扔给我一块骨头，我会很感激。 谢谢你看。

Answer 1

你确实很亲近。 您现在需要的只是格式化。 例子：

Get-EventLog -LogName "Security" | Where-Object { $_.EventID -eq 4720 } `
    | Select-Object -Property `
        @{Label="LogonName";Expression={$_.ReplacementStrings[0]}}, `
        @{Label="CreationTime";Expression={$_.TimeGenerated}} `
    | Export-Csv C:\NewStaff.csv -NoTypeInformation