使用 Get-WinEvent 检索用户名

Question

我正在尝试从事件查看器日志数据中检索用户名列表。 我看到的唯一可用选择器是 UserID。 我想将其转换为我在常规 > 用户而不是 SID 下看到的内容。 我是 PowerShell 初学者，所以我提前道歉。

这是我现在正在使用的脚本。 它工作得很好，但我想在列中添加一个用户名。

#Server list
$VDI = Get-Content "C:\Scripts\IM\AvayaList.csv"
 
#Query remote machines
Invoke-Command $VDI {
 
    $Filter = @{
           Logname = 'Citrix-VDA-CQI/Admin'
           Level = 1,2,3
           StartTime = [datetime]::Today.AddDays(-1)
    }
    Get-WinEvent -FilterHashtable $Filter
 
} | Select-Object MachineName,TimeCreated,Level,ID,Message | Out-GridView -Title "Results"

我在另一篇文章中看到了这一点，但我很难将我拥有的东西与我发现的东西结合起来。

  Get-WinEvent -MaxEvents 1000 | foreach {
    $sid = $_.userid;
    if($sid -eq $null) { return; }
    $objSID = New-Object System.Security.Principal.SecurityIdentifier($sid);
    $objUser = $objSID.Translate([System.Security.Principal.NTAccount]);
    Write-Host $objUser.Value;
}

我正在使用 PowerShell v5.1.14393.3866

谢谢！

Answer 1

你可以写一个小助手 function 来解析 SID。 此外，就像您为过滤器哈希表使用变量一样，您可以使用变量来存储所需的属性以使代码更易于阅读。

Function Resolve-SID ($sid)
{
    if($sid)
    {
        $objSID = New-Object System.Security.Principal.SecurityIdentifier($sid)
        $objSID.Translate([System.Security.Principal.NTAccount]).value
    }
    else
    {
        'N/A'
    }
}

$selectprops = "MachineName",
               "TimeCreated",
               "Level",
               "ID",
               "Message",
               @{n="User";e={Resolve-SID $_.UserID}}

#Server list
$VDI = Get-Content "C:\Scripts\IM\AvayaList.csv"

#Query remote machines
Invoke-Command $VDI {

    $Filter = @{
           Logname = 'Citrix-VDA-CQI/Admin'
           Level = 1,2,3
           StartTime = [datetime]::Today.AddDays(-1)
    }
    Get-WinEvent -FilterHashtable $Filter

} | Select-Object $selectprops | Out-GridView -Title "Results"